‹ Volver al listado

CVE-2026-112712

Estado: RecibidaCrítica (9.1)—
Gravedad9.1Crítica · CVSS 3.1
Probabilidad de explotación—en los próximos 30 días
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

@fastify/middie es el motor de middleware de estilo Express para Fastify. En las versiones desde la 9.0.0 hasta la 9.3.5, la función use() unía la ruta de montaje de un middleware con ámbito de ruta con el prefijo del ámbito del plugin de una forma que podía diferir de la ruta que sirve el enrutador de Fastify, sobre todo cuando el prefijo del ámbito terminaba en una barra, y también para rutas de montaje en forma de array y para rutas de montaje escritas sin barra inicial.

Leer descripción completaMostrar menos

Cuando ambas rutas no coincidían, el middleware se omitía silenciosamente mientras el manejador de la ruta seguía ejecutándose, por lo que el middleware con ámbito de ruta, como la autenticación, la autorización o la limitación de tasa, podía eludirse con una única solicitud sin autenticar. El fallo está corregido en @fastify/middie 9.3.6, y los usuarios deben actualizar a la versión 9.3.6 o posterior. Como medida temporal, impongan la autorización en un hook de Fastify, como preHandler, que se ejecute después de que el enrutador haya resuelto la solicitud.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
9.1
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:N/UI:N: una sola petición sin autenticar salta middleware de autenticación o autorización al divergir rutas, según la descripción; no hay impacto concreto documentado.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkFilter Network TrafficApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Fastify — MiddieAI

CWE

Referencias

Mostrar las 2 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-112712",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "ce714d77-add3-4f53-aff5-83d477b104bb",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.1,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.2,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb",
      "affectedData": [
        {
          "vendor": "@fastify/middie",
          "product": "@fastify/middie",
          "versions": [
            {
              "status": "affected",
              "version": "9.0.0",
              "lessThan": "9.3.6",
              "versionType": "semver"
            },
            {
              "status": "unaffected",
              "version": "9.3.6",
              "versionType": "semver"
            }
          ],
          "packageURL": "pkg:npm/@fastify/middie",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-20T21:17:17.910",
  "references": [
    {
      "url": "https://cna.openjsf.org/security-advisories.html",
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb"
    },
    {
      "url": "https://github.com/fastify/middie/security/advisories/GHSA-5p92-8765-9fv8",
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb"
    }
  ],
  "vulnStatus": "Received",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb",
      "description": [
        {
          "lang": "en",
          "value": "CWE-436"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "@fastify/middie is the Express-style middleware engine for Fastify. In versions from 9.0.0 through 9.3.5, the use() function joined a path-scoped middleware's mount path to the plugin scope prefix in a way that could diverge from the path Fastify's router serves, most often when the scope prefix ended in a slash, and also for array mount paths and for mount paths written without a leading slash. When the two paths disagreed, the middleware was silently skipped while the route handler still ran, so path-scoped middleware such as authentication, authorization, or rate limiting could be bypassed by a single unauthenticated request. The issue is fixed in @fastify/middie 9.3.6, and users should upgrade to 9.3.6 or later. As a workaround, enforce authorization in a Fastify hook such as preHandler that runs after the router has resolved the request."
    }
  ],
  "lastModified": "2026-10-20T21:17:17.910",
  "sourceIdentifier": "ce714d77-add3-4f53-aff5-83d477b104bb"
}