Vulnerabilidades

@fastify/middie es el motor de middleware de estilo Express para Fastify. En las versiones desde la 9.0.0 hasta la 9.3.5, la función use() unía la ruta de montaje de un middleware con ámbito de ruta con el prefijo del ámbito del plugin de una forma que podía diferir de la ruta que sirve el enrutador de Fastify, sobre…

Las versiones de @fastify/middie >= 9.1.0 y anteriores a 9.3.4 deciden si ejecutar middleware con ámbito de ruta comparando con el destino de la solicitud sin procesar, mientras que el router de Fastify resuelve un destino de solicitud en forma absoluta a su ruta antes de despacharlo. Como las dos capas evalúan…

Las versiones 9.1.0 a 9.3.2 de @fastify/middie decodifican la barra codificada %2F dentro de los valores de los parámetros de ruta antes de comparar las rutas de middleware, mientras que el enrutador subyacente de Fastify conserva la codificación durante la búsqueda de rutas. Las dos capas discrepan sobre la ruta…

Las versiones 9.3.1 y anteriores de @fastify/middie son vulnerables a una elusión de middleware cuando la opción obsoleta ignoreDuplicateSlashes de Fastify está habilitada. La lógica de coincidencia de rutas de middleware no tiene en cuenta la normalización de barras duplicadas que realiza el enrutador de Fastify, lo…

Las versiones 9.3.1 y anteriores de @fastify/middie no registran directamente el middleware heredado en las instancias del motor de los plugins hijos. Cuando una aplicación de Fastify registra middleware de autenticación en un ámbito padre y luego registra plugins hijos con @fastify/middie, el ámbito hijo no hereda el…