¿Qué es la vulnerabilidad CVE-2026-120213 en @fastify/http-proxy?
La vulnerabilidad registrada como CVE-2026-120213 representa un fallo crítico de seguridad analizado en reportes como la vulnerabilidad crítica en la librería zip de Rust que afecta directamente al ecosistema de desarrollo web. Este fallo posee una puntuación CVSS de 9.1 según los registros oficiales recopilados por NIST NVD.
El problema surge específicamente cuando una aplicación utiliza las opciones de prefijo parametrizado y rewritePrefix para fijar a los clientes a una ruta upstream determinada. El plugin sustituye los parámetros de ruta decodificados por URL directamente en el rewritePrefix sin volver a codificarlos adecuadamente.
¿A quién afecta este fallo de bypass en el proxy?
Esta brecha afecta de manera directa a todas las aplicaciones que utilicen las versiones comprendidas entre la 9.0.0 y la 11.6.5 del plugin @fastify/http-proxy. Atacantes remotos no autenticados pueden aprovechar este vector de forma similar a otros incidentes como el fallo crítico de credenciales en Kaniko, sin necesidad de recurrir a técnicas de recorrido de directorios tradicionales.
Un valor de parámetro malicioso que codifique un separador de ruta junto con un delimitador de consulta o fragmento se decodifica en separadores reales. Esto inyecta segmentos adicionales en el upstream y elimina el sufijo obligatorio que el rewritePrefix pretendía asegurar.
¿Cómo me protego?
La mitigación de esta incidencia crítica requiere una acción directa sobre las dependencias del proyecto, al igual que ocurre ante otras brechas graves como el bypass de autenticación en Barracuda. Los mantenedores han confirmado que no existe ningún método alternativo de mitigación que no sea aplicar la actualización de software correspondiente.
Para asegurar sus servidores y eliminar la vulnerabilidad de su entorno de desarrollo, siga los pasos detallados a continuación:
- Compruebe el archivo de bloqueo de dependencias de su proyecto para identificar si utiliza @fastify/http-proxy en versiones de la 9.0.0 a la 11.6.5.
- Actualice inmediatamente el paquete ejecutando el gestor de paquetes de Node.js a la versión 11.6.6 o superior.
- Consulte los detalles técnicos oficiales y las notas de actualización en el correspondiente.