CVE-2026-6556: Contorno de Middleware com Escopo de Caminho no @fastify/express (Fastify) por Caminhos de Montagem Não Textuais
As versões do @fastify/express até a 4.0.6 não aplicam o prefixo do plugin a caminhos de montagem de middleware informados como arrays ou expressões regulares. Middlewares com escopo em rotas dentro de plugins com prefixo podem, assim, ser ignorados, o que o registro descreve como contorno de controles de autenticação, autorização, limitação de taxa ou auditoria. O registro indica a versão 4.0.7 como correção e não há exploração confirmada nas fontes consultadas.
Visão geral
O CVE-2026-6556 afeta o pacote @fastify/express. Segundo o registro, as versões 4.0.6 e anteriores só acrescentam o prefixo do plugin a caminhos de montagem de middleware quando o caminho é uma string. Caminhos informados como arrays ou expressões regulares ficam sem prefixo dentro de escopos de plugins com prefixo, e por isso o middleware não corresponde ao caminho real da requisição com prefixo.
Impacto
O registro afirma que aplicações que usam middleware com escopo de caminho para autenticação, autorização, limitação de taxa ou auditoria em rotas dentro de um escopo com prefixo podem ser contornadas, pois a rota continua sendo correspondida enquanto o middleware é ignorado. A classificação CWE é CWE-285 (Autorização Inadequada). O registro informa pontuação base CVSS 3.1 de 9.1, com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, atribuída pelo CNA.
Produtos afetados e versões
- Produto listado no registro: Fastify Fastify/express
- Faixa afetada listada no registro: versões anteriores à 4.0.7
- Versão corrigida indicada no registro: 4.0.7
Status de exploração
O registro não consta no catálogo KEV da CISA. Nas fontes consultadas não há exploração ativa confirmada nem exploração no ambiente real para este CVE. O registro não traz outros dados de exploração.
Correção e mitigação
- Atualize o @fastify/express para a versão 4.0.7, conforme indicado no registro e no aviso do GitHub Security Advisory vinculado.
- Se a atualização não puder ser feita de imediato, o registro sugere usar strings como caminhos de montagem em vez de arrays ou expressões regulares dentro de plugins com prefixo, ou registrar uma chamada use por caminho.
- Revise todos os plugins com prefixo que dependem de middleware com escopo de caminho para controles de segurança e confirme que esses controles são aplicados às rotas reais com prefixo.
Orientações de detecção
- Faça um inventário dos projetos que usam @fastify/express e registre a versão instalada.
- Revise os registros de middleware dentro de plugins com prefixo, principalmente os que usam arrays ou expressões regulares como caminhos de montagem.
- Em ambientes de teste, verifique se os middlewares de autenticação, autorização, limitação de taxa e auditoria são executados nas rotas com prefixo.
Limitações das informações disponíveis
O registro não descreve as condições exatas de um ataque, a lista completa de rotas afetadas nem um cronograma publicado pelo fornecedor além da referência de correção. Os dados de EPSS no registro são uma estimativa estatística e não confirmam exploração. Onde o registro não traz informações, esta análise não presume detalhes adicionais.
Perguntas frequentes
Qual é o problema central do CVE-2026-6556?
Segundo o registro, o @fastify/express até a versão 4.0.6 aplica o prefixo do plugin a caminhos de montagem de middleware somente quando são strings. Arrays e expressões regulares ficam sem prefixo, então middlewares com escopo definido por essas formas podem não ser executados em rotas com prefixo.
Qual versão corrige o problema?
O registro indica a versão 4.0.7 do @fastify/express como corrigida e cita o GitHub Security Advisory GHSA-3wf5-7852-vcfq como referência de mitigação.
Há exploração ativa conhecida?
Não. O CVE não consta no catálogo KEV da CISA no registro, e as fontes consultadas não mostram exploração ativa confirmada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.