fastify\/express: Improper Authorization (CVE-2026-6556)

Versionen von @fastify/express ab 4.0.6 und früher ändern nur den Plugin-Prefix für Middleware-Mount-Pfade, wenn das Pfadargument ein String ist. Nicht-String-Mount-Pfade (Arrays von Pfade und reguläre Ausdrücke) bleiben innerhalb von präfixierten Plugin-Scope unpräfixiert, sodass die mit diesen Formen registrierte Middleware nicht zum tatsächlichen präfixierten Anfragepfad passt. Anwendungen, die für Authentifizierung, Autorisierung, Drosselung oder Überwachung auf Routen innerhalb eines präfixierten Bereichs Pfad-spezifische Middleware verwenden, können umgangen werden, indem eine Anfrage an den präfixierten Pfad gesendet wird. Dies liegt daran, dass Fastify die Route immer noch abgleicht, aber die Middleware übersprungen wird. Patches: Upgrade auf @fastify/express 4.0.7. Workarounds: Verwenden Sie String-Mount-Pfade anstelle von Arrays oder regulären Ausdrücken in präfixierten Plugins oder registrieren Sie eine einzelne Verwendung pro Pfad.