原文

@fastify/staticのバージョン10.1.3以前には、以前のルートガードバイパスに対する修正が不完全な状態で含まれていました。静的ファイルハンドラは親ディレクトリのセグメントのみを拒否していましたが、ルートマッチングの前および送信レイヤーに委譲する前に、ドットセグメント、重複スラッシュ、エンコードされたドット、バックスラッシュの正規化（カノニカル化）を行っていませんでした。その結果、認証されていない攻撃者がガードされたルートを回避するために非正規のパス形式を使用し、ルートベースのガードで保護されたファイルをリクエストして保護されたファイルの内容を漏洩させる可能性がありました。静的ルートのサブツリーをルートベースのガードで保護するアプリケーションが影響を受けますが、allowedPathオプションに依存するアプリケーションは影響を受けません。この問題は@fastify/static 10.1.3で修正されており、ルーティングおよび提供に使用されるパス名を正規化し、バックスラッシュも拒否しています。