- Yama var
- Son 7 gün
- CWE-436
CVE-2026-112712
@fastify/middie yol kapsamlı middleware atlatma açığı (kapsam öneki uyuşmazlığı)
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- openjs
Yönetici özeti
Bu açık, uygulamanın güvenlik kontrollerinin bazı isteklerde devre dışı kalmasına yol açabilir ve yetkisiz erişim riskini doğurur. Kimlik doğrulamasız saldırılar mümkün olduğundan, etkilenen sistemlerin hızla güncellenmesi önerilir.
ÖzetTürkçe
@fastify/middie, Fastify için Express tarzı bir middleware motorudur. 9.0.0 ile 9.3.5 arasındaki sürümlerde use fonksiyonu, yola bağlı middleware'in bağlanma yolunu eklenti kapsam önekiyle birleştirirken, bu birleşim Fastify yönlendiricisinin sunduğu yolla farklılaşabiliyordu. Bu durum özellikle kapsam öneki eğik çizgiyle bittiğinde, dizi biçiminde verilen yollarda ve baştaki eğik çizgisiz yollarda ortaya çıkıyordu. Ayrıca doğrulanabilir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulama yapmadan tek bir istekle yola bağlı kimlik doğrulama, yetkilendirme veya hız sınırlama middleware'lerini atlayabilir; middleware sessizce çalışmaz ama rota işleyicisi yine çalışır.
Kaynaktaki açıklama (İngilizce)
@fastify/middie is the Express-style middleware engine for Fastify. In versions from 9.0.0 through 9.3.5, the use() function joined a path-scoped middleware's mount path to the plugin scope prefix in a way that could diverge from the path Fastify's router serves, most often when the scope prefix ended in a slash, and also for array mount paths and for mount paths written without a leading slash. When the two paths disagreed, the middleware was silently skipped while the route handler still ran, so path-scoped middleware such as authentication, authorization, or rate limiting could be bypassed by a single unauthenticated request. The issue is fixed in @fastify/middie 9.3.6, and users should upgrade to 9.3.6 or later. As a workaround, enforce authorization in a Fastify hook such as preHandler that runs after the router has resolved the request.
Ne yapmalı?
- @fastify/middie paketini 9.3.6 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme yapamıyorsanız, yetkilendirme kontrollerini middleware yerine yönlendirici çözümlemesinden sonra çalışan preHandler gibi bir Fastify kancasında uygulayın. Üretici
- Yükseltmeden sonra, yola bağlı güvenlik middleware'lerinin korumalı rotalarda gerçekten çalıştığını test edin. Genel öneri
Ek önlemler
- Kritik rotaların yetkilendirmesini yalnızca middleware katmanına bağlamayın; rota düzeyinde ikinci bir kontrol ekleyin. Genel öneri
- Korumalı uç noktalara yetkisiz erişim denemelerini içeren günlükleri izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @fastify/middie | ≥ 9.0.0, < 9.3.6 | 9.3.6 |
| 9.3.6 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.