CVE-2026-16158

Wtyczka @fastify/reply-from w wersjach do 12.8.0 włącznie waliduje ścieżki proxy tylko pod kątem ukośników w segmencie kropki, a następnie buduje cel za pomocą parsera WHATWG URL, który normalizuje backslash i jego formę procentową do ukośnika. Ścieżka używająca backslashowych segmentów kropki omija sprawdzenie traversal i prowadzi do innej ścieżki upstream. Nieuwierzytelnione żądanie może wyjść poza zamierzony prefiks i dotrzeć do innych punktów końcowych upstream.

@fastify/reply-from to plugin Fastify, który przekazuje żądania do serwera nadrzędnego HTTP lub HTTPS. W wersjach przed 12.7.0 wszystkie wbudowane transporty HTTPS nadpisują domyślne bezpieczne ustawienie i ustawiają rejectUnauthorized na false, więc proxy nie weryfikuje certyfikatu TLS serwera nadrzędnego, nawet gdy aplikacja wskazuje na https w domyślnej konfiguracji. Atakujący w sieci może podszyć się pod skonfigurowany serwer HTTPS, odczytać dane uwierzytelniające i treści żądań przekazywanych przez proxy oraz zwrócić sfałszowane odpowiedzi, którym aplikacja ufa. Problem został naprawiony w @fastify/reply-from 12.7.0, a użytkownicy powinni zaktualizować do wersji 12.7.0 lub nowszej. Jako obejście można przekazać jawne rejectUnauthorized true w transporcie, dostarczyć już skonfigurowaną instancję undici lub użyć globalnego agenta undici.

Podatność w bibliotekach @fastify/reply-from (do v12.6.1) i @fastify/http-proxy (do v11.4.3) pozwala atakującemu na usunięcie nagłówków dodanych przez proxy po ich dodaniu, poprzez manipulację nagłówkiem Connection. Klient może selektywnie usuwać nagłówki związane z routingiem, kontrolą dostępu lub bezpieczeństwem.

Wtyczka fastify-reply-from przed wersją 12.5.0 pozwala atakującemu na dostęp do tras, które nie powinny być dozwolone, poprzez spreparowanie złośliwego URL. Problem występuje mimo zdefiniowania reply.from dla konkretnych tras.