CVE-2025-66415

Wtyczka @fastify/reply-from w wersjach do 12.8.0 włącznie waliduje ścieżki proxy tylko pod kątem ukośników w segmencie kropki, a następnie buduje cel za pomocą parsera WHATWG URL, który normalizuje backslash i jego formę procentową do ukośnika. Ścieżka używająca backslashowych segmentów kropki omija sprawdzenie traversal i prowadzi do innej ścieżki upstream. Nieuwierzytelnione żądanie może wyjść poza zamierzony prefiks i dotrzeć do innych punktów końcowych upstream.

@fastify/reply-from to plugin Fastify, który przekazuje żądania do serwera nadrzędnego HTTP lub HTTPS. W wersjach przed 12.7.0 wszystkie wbudowane transporty HTTPS nadpisują domyślne bezpieczne ustawienie i ustawiają rejectUnauthorized na false, więc proxy nie weryfikuje certyfikatu TLS serwera nadrzędnego, nawet gdy aplikacja wskazuje na https w domyślnej konfiguracji. Atakujący w sieci może podszyć się pod skonfigurowany serwer HTTPS, odczytać dane uwierzytelniające i treści żądań przekazywanych przez proxy oraz zwrócić sfałszowane odpowiedzi, którym aplikacja ufa. Problem został naprawiony w @fastify/reply-from 12.7.0, a użytkownicy powinni zaktualizować do wersji 12.7.0 lub nowszej. Jako obejście można przekazać jawne rejectUnauthorized true w transporcie, dostarczyć już skonfigurowaną instancję undici lub użyć globalnego agenta undici.

Podatność w @fastify/reply-from w wersjach od 8.3.1 do 12.6.4 (z wyłączeniem). Wewnętrzny klucz pamięci podręcznej URL jest tworzony przez konkatenację docelowego i źródłowego ścieżki bez separatora, co może prowadzić do kolizji kluczy i przekierowania żądań do niewłaściwego upstreamu, umożliwiając dostęp i modyfikację danych między różnymi upstreamami.

Podatność w bibliotekach @fastify/reply-from (do v12.6.1) i @fastify/http-proxy (do v11.4.3) pozwala atakującemu na usunięcie nagłówków dodanych przez proxy po ich dodaniu, poprzez manipulację nagłówkiem Connection. Klient może selektywnie usuwać nagłówki związane z routingiem, kontrolą dostępu lub bezpieczeństwem.