Fastify HTTP Proxy 路徑限制可被繞過：升級至 11.6.6

CVE-2026-120213

主要來源公告：2026-11-02

本站刊登：2026-11-02 · 內容更新：2026-11-02（香港日期）

情報摘要

@fastify/http-proxy 的 CVE-2026-120213 影響 9.0.0 起、早於 11.6.6 的版本；使用參數化 prefix 與 rewritePrefix 限制上游路徑的應用須優先核對。

官方於 11 月 2 日公布：已解碼的路由參數代入 rewritePrefix 時未重新編碼，可能破壞原本強制套用的上游路徑限制。

依賴參數化 prefix 與 rewritePrefix 隔離上游 URL 範圍的公開代理，可能遭繞過路徑限制；是否進一步構成伺服器端請求偽造或上游授權繞過，取決於上游服務。

@fastify/http-proxy

使用相關產品的香港開發、系統管理及資訊保安團隊

核對實際部署的套件版本與代理設定，將 @fastify/http-proxy 升級至 11.6.6 或更新修補版本，重新部署並測試上游路徑隔離。官方沒有提供替代修補方案。

Fastify 官方通報評為 Critical，CVSS 3.1 為 9.1；實際影響仍取決於代理設定及上游服務。

不能僅憑安裝 Fastify 就判定可被利用；須同時核對受影響套件版本及上述設定。

本次核實未建立野外利用或香港機構受影響的證據；漏洞通報不等於已發生入侵。