@fastify/middie: Umgehung der Autorisierung in pfadbezogener Middleware
Zusammenfassung
Die Express-artige Middleware-Engine für Fastify speichert pfadbezogene Middleware unter einem Mount-Pfad, der nicht mit dem Pfad übereinstimmt, den der Router ausliefert. Typische Auslöser sind Plugin-Präfixe mit einem Schrägstrich am Ende, Array-Mount-Pfade und Mount-Pfade ohne führenden Schrägstrich. In diesen Fällen wird die Middleware stillschweigend übersprungen, während der Route-Handler trotzdem ausgeführt wird. Dadurch können Authentifizierung, Autorisierung oder Rate Limiting mit einer einzigen unauthentifizierten Anfrage umgangen werden.
Betroffen
- @fastify/middie 9.0.0 bis einschliesslich 9.3.5
- Anwendungen, die dieses Paket verwenden, einschliesslich transitiver Abhängigkeiten
Behoben in
- Behoben in @fastify/middie 9.3.6
Umgehung
- Autorisierung in einem Fastify-Hook wie preHandler durchsetzen, der ausgeführt wird, nachdem der Router die Anfrage aufgelöst hat.
Ausnutzung
- Nicht als ausgenutzt bekannt (zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog).
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Lockfiles und ausgelieferte Builds auf @fastify/middie in den Versionen 9.0.0 bis 9.3.5 prüfen, einschliesslich transitiver Abhängigkeiten.
- Auf 9.3.6 oder neuer aktualisieren und neu ausrollen.
- Routen prüfen, die nur durch pfadbezogene Middleware geschützt sind, und Logs auf unerwartet erfolgreiche Anfragen kontrollieren.
- Falls das Patchen verzögert wird, Autorisierung per preHandler auf sensitiven Routen ergänzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-5p92-8765-9fv8 github.com
- OpenJS CNA Security Advisories cna.openjsf.org
- @fastify/middie release v9.3.6 github.com
- HOL Guard CVE entry hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.