Vulnerabilidades

@fastify/middie es el motor de middleware de estilo Express para Fastify. En las versiones desde la 9.0.0 hasta la 9.3.5, la función use() unía la ruta de montaje de un middleware con ámbito de ruta con el prefijo del ámbito del plugin de una forma que podía diferir de la ruta que sirve el enrutador de Fastify, sobre…

Las versiones de @fastify/middie >= 9.1.0 y anteriores a 9.3.4 deciden si ejecutar middleware con ámbito de ruta comparando con el destino de la solicitud sin procesar, mientras que el router de Fastify resuelve un destino de solicitud en forma absoluta a su ruta antes de despacharlo. Como las dos capas evalúan…

Las versiones 9.1.0 a 9.3.2 de @fastify/middie decodifican la barra codificada %2F dentro de los valores de los parámetros de ruta antes de comparar las rutas de middleware, mientras que el enrutador subyacente de Fastify conserva la codificación durante la búsqueda de rutas. Las dos capas discrepan sobre la ruta…

Las versiones 9.1.0 a 9.3.2 de @fastify/middie no protegen el paso de normalización de URL utilizado por el motor independiente cuando las rutas de las solicitudes entrantes contienen secuencias con codificación porcentual mal formadas. Entradas como un escape porcentual incompleto o una secuencia multibyte truncada…

Las versiones 9.3.1 y anteriores de @fastify/middie son vulnerables a una elusión de middleware cuando la opción obsoleta ignoreDuplicateSlashes de Fastify está habilitada. La lógica de coincidencia de rutas de middleware no tiene en cuenta la normalización de barras duplicadas que realiza el enrutador de Fastify, lo…

Las versiones 9.3.1 y anteriores de @fastify/middie no registran directamente el middleware heredado en las instancias del motor de los plugins hijos. Cuando una aplicación de Fastify registra middleware de autenticación en un ámbito padre y luego registra plugins hijos con @fastify/middie, el ámbito hijo no hereda el…

Una vulnerabilidad en las versiones de @fastify/middie anteriores a la 9.2.0 puede resultar en una omisión de autenticación/autorización al usar middleware con ámbito de ruta (por ejemplo, app.use('/secret', auth)). Cuando las opciones de normalización del router de Fastify están habilitadas (como…

@fastify/middie es el plugin que añade soporte de middleware potenciado a Fastify. Una vulnerabilidad de seguridad existe en @fastify/middie anterior a la versión 9.1.0 donde el middleware registrado con un prefijo de ruta específico puede ser evadido usando caracteres codificados en URL (p. ej., '/%61dmin' en lugar…