Pubblicato il 2026-07-18 · Fonte: NVD NIST
La vulnerabilità CVE-2026-15631 è stata scoperta in @fastify/http-proxy, una libreria utilizzata per la gestione delle richieste HTTP. La vulnerabilità, classificata con un CVSS Score di 8.7, consente a un attaccante di sfruttare una debolezza nel routing dei WebSocket per accedere a endpoint non esposti. Ciò avviene a causa della mancata validazione del percorso di destinazione dei WebSocket rispetto al prefisso di riscrittura configurato. La vulnerabilità è sfruttabile solo con client WebSocket non normalizzati.
Un attaccante può sfruttare questa vulnerabilità per accedere a endpoint upstream non esposti, potenzialmente portando a violazioni della sicurezza e accesso non autorizzato a risorse sensibili. I sistemi a rischio sono quelli che utilizzano @fastify/http-proxy nelle versioni comprese tra 9.4.0 e 11.5.0. La vulnerabilità può essere sfruttata in scenari di produzione in cui sono presenti client WebSocket non normalizzati o proxy downstream che inoltrano le richieste senza modifiche.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di eseguire l'aggiornamento a @fastify/http-proxy versione 11.6.0 o successiva. Non sono disponibili workaround alternative. È fondamentale mantenere le librerie e i framework aggiornati per prevenire l'esposizione a vulnerabilità note.
La vulnerabilità CVE-2026-15631 è una debolezza nel routing dei WebSocket in @fastify/http-proxy che consente a un attaccante di accedere a endpoint non esposti.
Il CVSS Score della vulnerabilità CVE-2026-15631 è 8.7, classificata come alta.
Per proteggersi da questa vulnerabilità, è necessario eseguire l'aggiornamento a @fastify/http-proxy versione 11.6.0 o successiva.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.