CVE-2026-33805

Wtyczka @fastify/reply-from w wersjach do 12.8.0 włącznie waliduje ścieżki proxy tylko pod kątem ukośników w segmencie kropki, a następnie buduje cel za pomocą parsera WHATWG URL, który normalizuje backslash i jego formę procentową do ukośnika. Ścieżka używająca backslashowych segmentów kropki omija sprawdzenie traversal i prowadzi do innej ścieżki upstream. Nieuwierzytelnione żądanie może wyjść poza zamierzony prefiks i dotrzeć do innych punktów końcowych upstream.

@fastify/reply-from to plugin Fastify, który przekazuje żądania do serwera nadrzędnego HTTP lub HTTPS. W wersjach przed 12.7.0 wszystkie wbudowane transporty HTTPS nadpisują domyślne bezpieczne ustawienie i ustawiają rejectUnauthorized na false, więc proxy nie weryfikuje certyfikatu TLS serwera nadrzędnego, nawet gdy aplikacja wskazuje na https w domyślnej konfiguracji. Atakujący w sieci może podszyć się pod skonfigurowany serwer HTTPS, odczytać dane uwierzytelniające i treści żądań przekazywanych przez proxy oraz zwrócić sfałszowane odpowiedzi, którym aplikacja ufa. Problem został naprawiony w @fastify/reply-from 12.7.0, a użytkownicy powinni zaktualizować do wersji 12.7.0 lub nowszej. Jako obejście można przekazać jawne rejectUnauthorized true w transporcie, dostarczyć już skonfigurowaną instancję undici lub użyć globalnego agenta undici.

Podatność w @fastify/reply-from w wersjach od 8.3.1 do 12.6.4 (z wyłączeniem). Wewnętrzny klucz pamięci podręcznej URL jest tworzony przez konkatenację docelowego i źródłowego ścieżki bez separatora, co może prowadzić do kolizji kluczy i przekierowania żądań do niewłaściwego upstreamu, umożliwiając dostęp i modyfikację danych między różnymi upstreamami.

Wtyczka fastify-reply-from przed wersją 12.5.0 pozwala atakującemu na dostęp do tras, które nie powinny być dozwolone, poprzez spreparowanie złośliwego URL. Problem występuje mimo zdefiniowania reply.from dla konkretnych tras.