CVE-2026-120213CVSS 9.1解码参数绕过路径前缀
解码后的路径分隔符与查询或片段分隔符改变上游路径，移除本应强制保留的后缀。
Fastify HTTP 代理可被解码后的路由参数绕过上游路径限制
@fastify/http-proxy 9.0.0 至 11.6.5 在用带参数的 prefix 和 rewritePrefix 限制上游路径时，可被未认证请求绕过。取决于上游服务，可造成 SSRF 或授权绕过。升级至 11.6.6；维护者未列出临时规避方案。
- 披露时间
- 2026年11月2日
- 公开披露日期
- 严重程度
- CVSS 9.1
- 本页收录 1 个 CVE
- 波及范围
- 使用 @fastify/http-proxy 9.0.0–11.6.5，并通过带参数的 prefix/rewritePrefix 限制上游路径的应用
- npm · node
- 在野利用
- 未知
- 维护者公告未报告真实环境利用。
发生了什么
代理将 URL 解码后的路由参数直接写入 rewritePrefix，未重新编码。解码后的斜杠结合片段或查询分隔符，可插入额外路径并丢弃强制后缀，无需使用父目录跳转。攻击需要能访问有漏洞的代理配置，实际获得的访问还取决于上游自身的授权；这不代表 Fastify 或全部代理部署都遭入侵。
GHSA-h3vp-4jfr-v364 给出了影响范围与修复版本。公开公告有请求示例，但未确认在野利用，也未公布受害者数量。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| @fastify/http-proxy | 11.6.6 | 已修复；受影响范围 >=9.0.0、<11.6.6 |
案发时间线
2026年11月2日
维护者发布公告，指定 11.6.6 为修复版本
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。