What is CVE-2026-7120?
In @fastify/static, the `allowedPath` callback is evaluated before normalizing dot segments and duplicate path separators in the pathname. Affecting versions up to 10.1.1, this allows an unauthenticated attacker to bypass `allowedPath` restrictions by using equivalent non-canonical paths. Affected instances should be patched immediately or input paths must be strictly normalized.
Azərbaycanca: @fastify/static paketində yol məhdudiyyətlərini (path restrictions) yoxlayan `allowedPath` funksiyası, fayl yolundakı nöqtə seqmentləri (dot segments) və təkrarlanan ayırıcılar (duplicate separators) normallaşdırılmadan əvvəl çağırılır. 10.1.1-ə qədər versiyaları təsirləndirən bu boşluq autentifikasiyasız hücumçuya ekvivalent qeyri-kanonik yollar vasitəsilə `allowedPath` məhdudiyyətlərini keçməyə imkan verir. Təsirlənən versiyalar dərhal yenilənməli və ya giriş yolları ciddi şəkildə normallaşdırılmalıdır.
Related CVEs
link basis: same weakness class CWE-22
FAQ2
Which versions of @fastify/static are affected by CVE-2026-7120?
This vulnerability affects versions of @fastify/static up to 10.1.1.
How can an attacker bypass the `allowedPath` restrictions?
An attacker can bypass `allowedPath` restrictions by using equivalent non-canonical paths, such as dot segments and duplicate separators in the file pathname.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.