CVE-2025-66415 fastify-reply-from 路径遍历漏洞

fastify-reply-from是Fastify框架的一个插件，用于将当前HTTP请求转发到另一个服务器。该插件在12.5.0之前的版本中存在访问控制绕过漏洞。攻击者可以通过构造恶意URL，绕过reply.from定义的路由限制，访问本不应该被允许访问的路由。

在fastify-reply-from的早期版本中，当使用reply.from将请求转发到特定路由时，插件没有正确验证用户请求的路径是否在允许范围内。攻击者可以利用URL编码或路径遍历字符（如../）来绕过路由限制，访问内部或受限资源。该漏洞源于对用户输入的路径验证不充分，允许攻击者通过精心构造的请求访问未授权的端点。