Fastify Reply From 路徑檢查可被繞過：更新至 12.8.1

CVE-2026-117518

主要來源公告：2026-11-02

本站刊登：2026-11-02 · 內容更新：2026-11-02（香港日期）

情報摘要

@fastify/reply-from 的 CVE-2026-117518 影響早於 12.8.1 的版本；依賴代理前綴或路由守衞限制上游存取的應用須檢查。

官方於 11 月 2 日說明，代理路徑驗證與 WHATWG URL 解析器的正規化行為不一致，可能讓請求離開預期的上游路徑前綴。

使用上游前綴限制代理範圍，或在 reply.from() 前依賴 Fastify 路由守衞的應用，可能讓未認證請求到達其他上游端點。修補版本為 12.8.1。

@fastify/reply-from

使用相關產品的香港開發、系統管理及資訊保安團隊

將 @fastify/reply-from 更新至 12.8.1 或更新修補版本，重新部署並確認代理路徑及存取控制測試通過。官方未提供 workaround；不要把既有路由守衞視為已修補。

Fastify 官方通報評為 High，CVSS 3.1 為 8.2；不代表所有 Fastify 應用均具相同暴露程度。

這是 @fastify/reply-from 的獨立漏洞，不能以另一套件 @fastify/http-proxy 的版本號代替核對。

本次核實未建立野外利用或香港機構受影響的證據；漏洞通報不等於已發生入侵。