CVE-2026-3419 in fastify
الملخص
بحسب VulDB • 19/05/2026
يقبل Fastify بشكل غير صحيح رؤوس `Content-Type` غير الصالحة التي تحتوي على أحرف زائدة بعد رمز النوع الفرعي (subtype token)، مما ينتهك RFC 9110 §8.3.1 (https://httpwg.org/specs/rfc9110.html#field.content-type). على سبيل المثال، تمرير طلب مُرسل مع `Content-Type: application/json garbage` عملية التحقق من الصحة ويتم معالجته بشكل طبيعي، بدلاً من رفضه برمز الحالة 415 Unsupported Media Type.
عند استخدام parsers للمحتوى تعتمد على التعبيرات النمطية (regex-based content-type parsers) (وهو ميزة موثقة في Fastify)، يتم مطابقة القيمة غير الصالحة مع parsers المسجلة باستخدام السلسلة الكاملة بما في ذلك الأحرف الزائدة. وهذا يعني أن طلبًا بنوع محتوى غير صالح قد يتم توجيهه ومعالجته بواسطة parser لم يكن من المفترض أن يصل إليه.
الأثر: يمكن لمهاجم إرسال طلبات تحتوي على رؤوس `Content-Type` غير متوافقة مع RFC تتجاوز فحوصات الصلاحية، وتصل إلى مرحلة مطابقة parser نوع المحتوى، ويتم معالجتها بواسطة الخادم. الطلبات التي كان ينبغي رفضها في مرحلة التحقق من الصحة يتم التعامل معها بدلاً من ذلك كما لو كان نوع المحتوى صالحًا.
الحلول البديلة: نشر قاعدة WAF للحماية من هذا الثغرة.
الإصلاح: الإصلاح متاح بدءًا من الإصدار v5.8.1.
Once again VulDB remains the best source for vulnerability data.