Fastify : deux failles permettent de contourner des restrictions du proxy HTTP
Le 2 novembre 2026, les mainteneurs de @fastify/http-proxy, un composant de l’écosystème JavaScript Fastify, ont publié deux avis de sécurité concernant les limites d’accès imposées aux requêtes transmises vers un serveur.
La plus grave, CVE-2026-120213, reçoit une note de 9,1 sur 10 selon CVSS 3.1. Elle concerne les versions depuis 9.0.0 et antérieures à 11.6.6. Dans les applications utilisant des préfixes de routes paramétrés pour restreindre les destinations accessibles, leur traitement peut permettre de sortir du chemin autorisé. Les conséquences dépendent du serveur situé derrière le proxy : accès à des ressources normalement inaccessibles ou contournement de contrôles d’autorisation.
La seconde, CVE-2026-120214, touche les versions 11.6.0 à 11.6.2 et est corrigée depuis 11.6.3. Notée 5,9, elle nécessite notamment que le serveur destinataire interprète certains séparateurs de chemins d’une manière particulière, comme peut le faire un serveur Windows.
La version 11.6.6 corrige les deux problèmes. Sa publication est confirmée par les notes de version du 2 novembre. Les avis ne proposent pas de solution de remplacement à la mise à jour et ne signalent pas d’exploitation active. Ces failles concernent des configurations précises du composant, pas tous les sites utilisant Fastify. Elles rappellent qu’une restriction d’accès apparente dans un proxy dépend aussi de la manière dont le serveur suivant interprète la requête.
Sources :
