FastifyとExpressを連携させる`@fastify/express`で、特定のURL正規化設定により管理画面などの認証・認可ミドルウェアを迂回できる重大な脆弱性が公表された。開発元はCritical（CVSS 9.1）と評価し、修正版4.0.9への更新を求めている。
30秒でわかる / THE SIGNAL
FastifyとExpressを連携させる`@fastify/express`で、特定のURL正規化設定により管理画面などの認証・認可ミドルウェアを迂回できる重大な脆弱性が公表された。開発元はCritical（CVSS 9.1）と評価し、修正版4.0.9への更新を求めている。
FastifyとExpressでURLの解釈が食い違う
開発元が2026年10月27日に公開したGHSA-6h42-57hq-9746（CVE-2026-112362）は、`@fastify/express`の4.0.5以上4.0.9未満に影響する。Fastifyの`routerOptions.ignoreDuplicateSlashes: true`を有効にした場合、絶対形式のリクエストターゲットに含まれる二重スラッシュの扱いがFastifyルーターとExpressミドルウェアの間で食い違う。
その結果、ルーターは保護対象のパスへリクエストを配送する一方、パス限定のExpressミドルウェアは一致しないと判断し、認証・認可やレート制限を適用しない場合がある。開発元は、`/admin`に適用した認証ミドルウェアが迂回され得る例を挙げている。
修正版4.0.9へ更新。暫定策は設定と認証処理の見直し
公式勧告では修正版`@fastify/express` 4.0.9以降への更新を推奨している。直ちに更新できない場合は、`ignoreDuplicateSlashes`を既定値のoffに戻すか、ルーティング後に動くFastifyの`preHandler`フックなどで認証を強制する。
この問題は非既定設定を使う環境に限定される。すべてのFastify/Express利用者が影響するわけではない。また、公式勧告から実環境での悪用確認までは読み取れない。導入パッケージのバージョンとルーター設定を優先して点検したい。
一次情報: https://github.com/fastify/fastify-express/security/advisories/GHSA-6h42-57hq-9746