CVE-2026-92087 in auth
الملخص
بحسب VulDB • 16/09/2026
@fastify/auth هو إضافة (plugin) لـ Fastify تقوم بدمج استراتيجيات مصادقة وتوثيق متعددة في حارس مسار واحد. في الإصدارات من 5.0.0 إلى 5.1.0، عندما يتم تركيب الاستراتيجيات باستخدام خيار العلاقة "or" مع خيار التشغيل "all"، ويكون أحد المدخلات مصفوفة متداخلة تعمل كمجموعة AND (AND group)، فإن المجموعة تُقيَّم بطريقة تعتمد على الترتيب: حيث يُتجاهل بصمت أي فحص سابق يفشل، وتصبح نتيجة مجموعة التحقق هي ناتج آخر تحقق فيها. ونتيجة لذلك، يتم منح الصلاحية لطلب يفي فقط بآخر عضو في مجموعة AND، مثل مهاجم يمتلك مفتاح API صالحاً لكنه ليس مسؤولاً (مدير نظام)، بدلاً من رفضه. كما أن عملية التخطي هذه المعتمدة على الترتيب تؤثر أيضاً على تكوين المرآة (mirror configuration) حيث تكون العلاقة على المستوى الأعلى "and" وتستخدم المجموعة المتداخلة خيار "or". تم إصلاح المشكلة في الإصدار 5.1.1 من @fastify/auth، وينبغي للمستخدمين ترقية النظام إلى الإصدار 5.1.1 أو أحدث. كحل بديل (workaround)، يمكن حذف خيار التشغيل "all" حيث لا يكون مطلوباً، أو ترتيب كل مجموعة AND بحيث يتم تقييم الفحص الأكثر صرامة في النهاية، أو استبدال مجموعات AND المتداخلة بتكوين "and" صريح على المستوى الأعلى.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.