CVE-2026-112362：@fastify/express 允許 absolute‑form 目標繞過路徑限制中介軟體
CVE-2026-112362 - @fastify/express vulnerable to path-scoped middleware bypass via absolute-form request targets
@fastify/express 在 4.0.5 至 4.0.8 版本中，若啟用非預設的 ignoreDuplicateSlashes 選項，攻擊者可利用 absolute‑form 請求目標繞過路徑限制的中介軟體，直接觸發如 admin 路徑的處理器。
此漏洞使未授權攻擊者可繞過 Express 中介軟體，提升安全意識並督促升級至 4.0.9，同時建議在 Fastify preHandler 強化認證，以防止路徑繞過。
譯文尚未完整，完整內容請切換至原文。
@fastify/express 是一個 Fastify 外掛，允許在 Fastify 內執行 Express 中介軟體。在 4.0.5 至 4.0.8 版本中，若 Fastify 開啟非預設的 ignoreDuplicateSlashes 選項，該外掛會將路徑限定的 Express 中介軟體比對至已將重複斜線正規化後、在絕對形式請求目標的協定之後的斜線也被合併的 URL，導致 Fastify 路由器將請求解析至限定路徑並執行處理程式，而 Express 層則不再看到該路徑。結果，使用絕對形式目標的請求可以到達例如管理路徑等限定路徑的處理程式，但認證、授權或速率限制的中介軟體會被跳過。未經驗證的攻擊者只需啟用非預設的 ignoreDuplicateSlashes 選項即可。此問題已於 @fastify/express 4.0.9 修復，建議使用者升級至 4.0.9 或更高版本。作為變通方案，可在 Fastify 的 preHandler 等鉤子中強制執行認證，該鉤子會在路由器解析請求後執行，或將 ignoreDuplicateSlashes 設回預設值。
影響
受影響產品
以下產品受到 CVE-2026-112362 漏洞影響。
即使 cvefeed.io 已知受影響產品的確切版本，該資訊並未在下表中呈現。
| ID | 供應商 | 產品 | 操作 |
|---|---|---|---|
| 1 | Fastify | fastify\/express |
通用漏洞評分系統（Common Vulnerability Scoring System）是一套標準化框架，用於評估軟體與系統漏洞的嚴重度。我們會收集並顯示各來源的 CVSS 分數，針對每一個 CVE。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 關鍵 | ce714d77-add3-4f53-aff5-83d477b104bb | ||||
| CVSS 3.1 | 關鍵 | MITRE-CVE |
此處您將找到一份精選的外部連結清單，提供與 CVE-2026-112362 相關的深入資訊、實用解決方案及有價值的工具。
| 網址 | 資源 |
|---|---|
| https://cna.openjsf.org/security-advisories.html | |
| https://github.com/fastify/fastify-express/security/advisories/GHSA-6h42-57hq-9746 |
雖然 CVE 會識別具體的漏洞例項，CWE 則分類可能導致漏洞的常見缺陷或弱點。CVE-2026-112362 與以下 CWEs 相關：
Common Attack Pattern Enumeration and Classification（CAPEC）儲存攻擊模式，這些模式描述了對手利用 CVE-2026-112362 弱點所採用的常見特徵與方法。
我們掃描 GitHub 儲存庫以偵測新的概念驗證利用漏洞。以下列表是已於 GitHub 釋出的公開利用漏洞與概念驗證集合（按最近更新排序）。
結果僅限於前 15 個儲存庫，因為可能會影響效能。
以下列表是提及
CVE-2026-112362漏洞的新聞。
以下表格列出CVE-2026-112362漏洞隨時間所做的變更。
漏洞歷史細節可協助瞭解漏洞演變，並辨識可能影響漏洞嚴重度、可利用性或其他特性的最新變更。
-
New CVE Received By ce714d77-add3-4f53-aff5-83d477b104bb
十月. 27, 2026
Action Type Old Value New Value Added Description @fastify/express 是一個在 Fastify 內執行 Express 中介軟體的 Fastify 外掛。在 4.0.5 到 4.0.8 版本中，當 Fastify 啟用非預設的 ignoreDuplicateSlashes 選項時，該外掛會將以路徑為範圍的 Express 中介軟體與一個在重複斜線標準化後已經將絕對形式請求目標的協定分隔符折疊的 URL 進行比對，導致 Fastify 的路由器將請求解析至範圍路徑並執行處理器，而 Express 層則不再看到該路徑。結果，使用絕對形式目標的請求能夠到達如管理路徑等範圍路由的處理器，且身份驗證、授權或速率限制的中介軟體將被跳過。未經身份驗證的攻擊者只需要啟用非預設的 ignoreDuplicateSlashes 選項即可。此問題已於 @fastify/express 4.0.9 修正，使用者應升級至 4.0.9 或更高版本。作為替代方案，可在 Fastify 的 preHandler 等掛鉤中強制執行身份驗證，該掛鉤會在路由器解析請求後執行，或將 ignoreDuplicateSlashes 設為預設值。 Added CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N Added CWE CWE-436 Added Affected New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/112xxx/CVE-2026-112362.json">CVE-2026-112362</a> Added Reference https://cna.openjsf.org/security-advisories.html Added Reference https://github.com/fastify/fastify-express/security/advisories/GHSA-6h42-57hq-9746
EPSS 是每日估計在未來 30 天內觀察到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。