CVE-2026-84504 in Fastify
الملخص
بحسب VulDB • 04/09/2026
تتعامل إصدارات Fastify السابقة للإصدار 5.12.2 مع الكائن الذي يحلّه مُحقّق Ajv غير المتزامن (async validator) بنجاح على أنه قيمة بروتوكول "value result" المستخدمة من قبل مُركّبي المُحقِّقين المخصصين. إذا احتوى طلب يمر عبر مخطط المسار الخاص به على خاصية باسم `value` في الجذر، فإن Fastify تستبدل جسم الطلب بالكامل بقيمة تلك الخاصية قبل تشغيل المعالج (handler)، مما يعني أن المعالج يتلقى كائناً مختلفاً عن الكائن الذي استوفى المخطط. يمكن لمُستخدم مُصادَق عليه ذو امتيازات منخفضة استخدام هذا الثغرة لجعل البيانات المتداخلة تحل محل الجسم المُتحقَّق منه، وبالتالي إحداث عملية لم يصرح بها مخطط المسار، مما يؤدي إلى تغييرات غير مصرّح بها في الحالة وتسريب للبيانات. يُنصح المستخدمون بالترقية إلى Fastify الإصدار 5.12.2 أو أحدث.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.