CVE-2026-15631

Path traversal w @fastify/http-proxy — ucieczka poza prefix WebSocket

CVSS 8.7v3.1pub. 2026-07-18upd. 2026-07-28

Podatność path traversal w bibliotece @fastify/http-proxy pozwala atakującemu na ominięcie skonfigurowanego prefiksu rewrite i dotarcie do nieprzeznaczonych do udostępnienia endpointów upstream. Dotyczy żądań WebSocket i jest sklasyfikowana jako HIGH z uwagi na potencjalne naruszenie poufności i integralności danych.

▸ Pokaż oryginał (EN)

Impact: @fastify/http-proxy versions from 9.4.0 up to and including 11.5.0 fail to validate the resolved WebSocket destination path against the configured rewrite prefix. The WebSocket routing path in WebSocketProxy.findUpstream resolves the destination via the WHATWG URL constructor, which collapses dot segments, so a crafted upgrade request with path traversal sequences can escape the rewrite prefix and reach upstream endpoints that were not meant to be exposed by the proxy. This is a variant of CVE-2021-21322 in a code path that never went through the HTTP fix in fastify/reply-from. Exploitation requires a non-normalizing WebSocket client, since browsers and the ws package normalize the request path before sending, but raw HTTP clients or downstream proxies that forward the request target unchanged make the attack reachable in production topologies. Patches: upgrade to @fastify/http-proxy 11.6.0. Workarounds: none.

🤖 Analiza AI

Jak działa

Funkcja WebSocketProxy.findUpstream wyznacza docelowy adres połączenia przy użyciu konstruktora WHATWG URL, który automatycznie redukuje sekwencje dot-segment (np. '../'). Spreparowane żądanie upgrade z sekwencjami path traversal pozwala wyjść poza skonfigurowany prefix rewrite i skierować ruch WebSocket do endpointów upstream, które proxy nie powinno ujawniać. Ścieżka kodu obsługująca WebSocket nigdy nie została objęta poprawką zastosowaną wcześniej po stronie HTTP (w fastify/reply-from). Atak jest osiągalny w środowisku produkcyjnym, gdy żądania WebSocket są przekazywane przez klientów HTTP lub proxy niestosujące normalizacji ścieżki — przeglądarki i pakiet ws normalizują ścieżkę przed wysłaniem, co uniemożliwia im bezpośrednie wykorzystanie podatności.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do endpointów upstream nieujętych w polityce proxy (naruszenie poufności i integralności), a w scenariuszach wielousługowych może prowadzić to do ujawnienia wewnętrznej infrastruktury lub manipulacji ruchem między serwisami.

Mitygacja

Należy zaktualizować @fastify/http-proxy do wersji 11.6.0, która zawiera odpowiednią walidację ścieżki docelowej WebSocket względem skonfigurowanego prefiksu rewrite. Producent nie przewiduje żadnych obejść (workarounds: none).

Kogo dotyczy

@fastify/http-proxy w wersjach od 9.4.0 do 11.5.0 włącznie

Uwagi

Podatność jest wariantem CVE-2021-21322, który dotyczył tej samej biblioteki, lecz ścieżka kodu WebSocket nie została objęta tamtą poprawką. Skuteczna eksploitacja wymaga użycia klienta WebSocket lub pośredniego proxy, które nie normalizuje ścieżki żądania przed przekazaniem.