@fastify/express: Umgehung von pfadbezogener Middleware über absolute-form Request-Targets

Zusammenfassung

Das Plugin @fastify/express, das Express-Middleware innerhalb von Fastify ausführt, ist in den Versionen 4.0.5 bis 4.0.8 betroffen, wenn Fastify mit der nicht standardmässigen Option ignoreDuplicateSlashes läuft. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann eine Anfrage mit einem absoluten Request-Target, etwa einer vollständigen URL, senden und so einen Handler einer geschützten Route wie eines Admin-Pfads erreichen, während die Middleware für Authentifizierung, Autorisierung oder Rate Limiting übersprungen wird. Es sind keine Zugangsdaten nötig, die nicht standardmässige Option muss jedoch aktiviert sein, damit die Schwachstelle zutrifft.

Betroffen

• @fastify/express 4.0.5 bis 4.0.8 (Herstellerangabe >= 4.0.5, < 4.0.9)
• Nur wenn Fastify mit aktivierter ignoreDuplicateSlashes-Option läuft (nicht standardmässig)

Behoben in

• Auf @fastify/express 4.0.9 oder neuer aktualisieren.

Umgehung

• Authentifizierung in einem Fastify-Hook wie preHandler erzwingen, der läuft, nachdem der Router die Anfrage aufgelöst hat.
• Die Option ignoreDuplicateSlashes auf ihren Standardwert (deaktiviert) setzen.

Ausnutzung

• Unbekannt. Zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt (bei OffSeq nicht als aktiv ausgenutzt gelistet; der KEV-Status wurde nicht direkt geprüft).
• Kein öffentlicher Proof of Concept gefunden (nicht verifiziert).

Unsere Empfehlung

• Node.js-Anwendungen auf @fastify/express in den Versionen 4.0.5 bis 4.0.8 prüfen (Lockfiles und ausgerollte Images kontrollieren).
• Auf 4.0.9 oder neuer aktualisieren.
• Prüfen, ob ignoreDuplicateSlashes gesetzt ist, entweder auf oberster Ebene oder in routerOptions. Falls ja und ein sofortiges Update nicht möglich ist, den Workaround mit dem Authentifizierungs-Hook anwenden.
• Zugriffslogs auf absolute-form Request-Targets prüfen, die Admin-Pfade treffen.
• Aus dem Internet erreichbare Anwendungen, die Express-Middleware für die Zugriffskontrolle auf Admin-Bereiche nutzen, sind am stärksten gefährdet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OpenJS CNA Security Advisories cna.openjsf.org
• GitHub Security Advisory GHSA-6h42-57hq-9746 github.com
• @fastify/express release v4.0.9 github.com
• Strix CVE-2026-112362 www.strix.ai
• OSV CVE-2026-112362 (Vulners) vulners.com
• OffSeq Radar CVE-2026-112362 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:24.