CVE-2026-120213: Path bypass in @fastify/http-proxy 11.6.5

Il CVE-2026-120213 riguarda @fastify/http-proxy, plugin Fastify per il proxying HTTP verso server upstream. Le versioni da 9.0.0 a 11.6.5 non ri-encodano i parametri URL dopo la decodifica, permettendo a un attaccante remoto non autenticato di iniettare separatori di percorso nei parametri. La falla consente di bypassare le restrizioni di percorso e raggiungere ubicazioni upstream esterne al prefisso configurato, portando a SSRF (Server-Side Request Forgery) e potenziale bypass di autorizzazione nei servizi proxati.

La vulnerabilità è classificata con gravità critical e CVSS 9,1. Nessun exploit pubblico è stato segnalato nei repository pubblici accessibili. Tuttavia, segnali su X indicano 3 post nelle ultime 24 ore che citano il CVE e il fix rilasciato. La patch è disponibile nella versione 11.6.6 di @fastify/http-proxy, uscita il 2 novembre 2026. Non è disponibile alcun workaround: l'upgrade è l'unica soluzione di mitigazione.

Gli amministratori e i responsabili della sicurezza devono verificare immediatamente se stanno usando @fastify/http-proxy con versioni inferiori a 11.6.6. Se è in uso una versione vulnerabile (9.0.0-11.6.5), occorre pianificare l'upgrade a 11.6.6 o superiore con priorità alta. Si consiglia di controllare nei log di accesso e nei registri di routing se ci sono stati tentativi di accesso inusuale a percorsi diversi da quelli previsti dal rewritePrefix, che potrebbe indicare sfruttamento della falla.

Prima di eseguire l'upgrade, verificare in quale contesto il plugin è usato: è necessario comprendere se il rewritePrefix è configurato per vincolare i client a percorsi fissi upstream e se la configurazione usa parametri nel prefisso. Dopo l'aggiornamento, testare il comportamento del routing per assicurarsi che i parametri vengano gestiti correttamente e che il prefisso sia sempre rispettato.