CVE-2026-33807 — 神龙十问 AI 深度分析摘要

🚨 **本质**：@fastify/express 插件中 `onRegister` 函数路径处理逻辑错误。 🔥 **后果**：中间件路径在被子插件继承时**重复添加**，导致**完全绕过** Express 中间件的安全控制。

🔍 **CWE**：CWE-436（解释性代码中的**解析错误**）。 🐛 **缺陷点**：`onRegister` 函数在处理路径继承时，未能正确去重或校验，导致中间件注册逻辑混乱。

📦 **组件**：`@fastify/express`。 📉 **受影响版本**：**4.0.4 及之前版本**。 🏢 **厂商**：Fastify (OpenJS Foundation)。

🕵️ **黑客能力**：绕过安全中间件（如认证、鉴权、日志记录等）。 💾 **数据风险**：由于 CVSS 评分中 **C:H** (机密性高) 和 **I:H** (完整性高)，可能导致**敏感数据泄露**或**未授权修改**。

🚪 **利用门槛**：**低**。 🔑 **条件**：CVSS 向量显示 **AV:N** (网络攻击)、**AC:L** (低复杂度)、**PR:N** (无需权限)、**UI:N** (无需用户交互)。攻击者可直接远程利用。

📜 **Exp/PoC**：根据提供数据，**暂无**公开 PoC 或详细利用代码。 🌍 **在野利用**：数据未提及在野利用情况，但鉴于绕过机制简单，风险极高。

🔎 **自查方法**：检查项目中 `package.json` 中 `@fastify/express` 的版本号。 🛠️ **扫描特征**：若版本 **≤ 4.0.4**，即存在此配置缺陷风险。

🛡️ **官方修复**：建议升级至 **4.0.5 或更高版本**（通常此类漏洞会在次版本修复）。 📢 **参考**：OpenJSF CNA 安全公告及 GitHub Advisory (GHSA-hrwm-hgmj-7p9c)。

⚠️ **临时规避**：若无法立即升级，需**手动审查**子插件中的中间件注册逻辑。 🚫 **建议**：避免在子插件中继承可能受影响的中间件路径，或改用其他兼容方案。

🚨 **优先级**：**紧急**。 📊 **理由**：CVSS 评分高（隐含），且涉及**安全控制绕过**，无需认证即可利用。建议**立即**制定升级计划。