🔴 CVE-2026-6556: Critical Luecke in Fastify Fastify\/Express

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-6556 betrifft @fastify/express in den Versionen 4.0.6 und älter. Ein kritischer Fehler in der Middleware-Pfad-Präfixierung ermöglicht es Angreifern, sicherheitskritische Middleware-Layer zu umgehen, die für Authentifizierung, Autorisierung, Rate Limiting oder Auditing zuständig sind. Der Schweregrad wird mit CVSS 9.1 als kritisch eingestuft.

Betroffene Systeme

Betroffene Software:

• @fastify/express Versionen ≤ 4.0.6
• Fastify-Ökosystem mit Express-Plugin

Angriffsvektor: Netzwerk (Network) – Keine lokale oder physische Präsenz erforderlich

Technische Details

Das Vulnerability liegt in der unvollständigen Pfad-Präfixierung von Middleware-Mount-Punkten. Das Plugin rewrite den Präfix nur dann, wenn der Path-Argument als String übergeben wird. Alternative Path-Definitionen wie:

• Arrays von Pfaden
• Reguläre Ausdrücke (RegExp)

werden nicht ordnungsgemäß mit dem Plugin-Präfix versehen. Dies führt dazu, dass die registrierte Middleware nicht auf die tatsächliche gepräfixte Request-Path passt.

Angriffsszenarien:
Ein Angreifer kann durch das Senden einer Anfrage an die gepräfixte Route den Security-Bypass auslösen. Fastify matched zwar die Route korrekt, die Middleware wird jedoch übersprungen, da die Pfad-Präfixe nicht übereinstimmen.

Empfohlene Massnahmen

Patch: Sofortiges Upgrade auf @fastify/express Version 4.0.7 oder höher durchführen.

Workarounds (bis Patch verfügbar):

• Ausschließliche Verwendung von String-basierten Mount-Pfaden statt Arrays oder RegExp
• Separate use()-Aufrufe für jeden Pfad registrieren
• Middleware-Layer auf globaler Ebene statt Plugin-bezogen implementieren

Bewertung

CVSS Score: 9.1 (Kritisch)
Verfügbarkeit des Patches: Ja
Handlungsbedarf: Unmittelbar

Diese Sicherheitslücke stellt ein erhebliches Risiko dar, da authentifizierungs- und autorisierungskritische Middleware vollständig umgangen werden kann. Ein umgehendes Update wird dringend empfohlen.

„`