Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-436

CVE-2026-112362

@fastify/express: mutlak biçimli isteklerle yol bazlı ara katman yazılımının atlatılması

@fastify/express

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
openjs

Yönetici özeti

Bu açık, korumalı yönetim bölümlerine giriş kontrollerinin atlatılmasına olanak tanıyabilir ve kullanıcı verilerinin sızma riskini artırır. Saldırı için bir oturum ya da şifre gerekmediğinden, etkilenen sistemlerin hızla güncellenmesi önerilir.

ÖzetTürkçe

@fastify/express, Express ara katman yazılımını Fastify içinde çalıştıran bir eklentidir. 4.0.5 ile 4.0.8 arasındaki sürümlerde, Fastify'ın varsayılan olmayan ignoreDuplicateSlashes seçeneği etkinleştirildiğinde, mutlak biçimli istek hedeflerinde şema sonrasındaki ayırıcı yanlışlıkla birleştirilebilmektedir. Bu durumda Fastify yönlendiricisi isteği korumalı yola eşler, ancak Express katmanı bu yolu görmez. Etkilenen kullanıcılar, bu seçeneği etkinleştirmiş olan Fastify tabanlı uygulamalardır.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan, yetkilendirme, kimlik doğrulama ya da hız sınırlama gibi ara katmanları atlayarak yönetici paneli gibi korumalı yollardaki işleyicilere ulaşabilir. Bu da kullanıcı verilerinin okunmasına ya da değiştirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

@fastify/express is a Fastify plugin that runs Express middleware inside Fastify. In versions 4.0.5 through 4.0.8, when Fastify runs with the non-default ignoreDuplicateSlashes option enabled, the plugin matches path-scoped Express middleware against a URL whose duplicate-slash normalization has also collapsed the separator after an absolute-form request target's scheme, so Fastify's router resolves the request to the scoped path and runs the handler while the Express layer no longer sees that path. As a result, a request using an absolute-form target can reach a handler on a scoped route such as an admin path while the middleware for authentication, authorization, or rate limiting is skipped. An unauthenticated attacker needs only the non-default ignoreDuplicateSlashes option to be enabled. The issue is fixed in @fastify/express 4.0.9, and users should upgrade to 4.0.9 or later. As a workaround, enforce authentication in a Fastify hook such as preHandler that runs after the router resolves the request, or leave ignoreDuplicateSlashes at its default.

Ne yapmalı?

  1. @fastify/express paketini 4.0.9 veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncelleme hemen yapılamıyorsa ignoreDuplicateSlashes seçeneğini varsayılan değerine (devre dışı) geri alın. Üretici
  3. Yükseltme ve yapılandırma değişikliği tamamlanana kadar kimlik doğrulamasını, Fastify yönlendirici işlemi tamamlandıktan sonra çalışan bir preHandler kancasında zorunlu kılın. Üretici

Ek önlemler

  • Yönetici ve diğer korumalı yollara yönelik isteklerde beklenmeyen mutlak biçimli URL'leri içeren kayıtları izleyin. Genel öneri
  • Kritik yolların yetkilendirmesini yalnızca ara katmana bağlamak yerine, işleyici düzeyinde de ikinci bir kontrol ekleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
@fastify/express ≥ 4.0.5, < 4.0.9 4.0.9
4.0.9 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.