CVE-2026-120215 in fastify-cors
Zusammenfassung
von VulDB • 02.11.2026
@fastify/cors ist das CORS-Plugin für das Fastify-Webframework. In den Versionen 8.2.0 bis 11.3.x stürzt eine Anwendung ab, die das Plugin mit der nicht standardmäßigen `onSend`-Hook-Option registriert, bei einer CORS-Preflight-Anfrage. Bei einer OPTIONS-Anfrage, die die Header `Origin` und `Access-Control-Request-Method` enthält, ruft das Plugin `reply.send` innerhalb des `onSend`-Hooks auf und betritt den Sendepipeline erneut, sodass ein zweites Schreiben der Antwortheader einen nicht abgefangenen Fehler `ERR_HTTP_HEADERS_SENT` auslöst, der den Node.js-Prozess beenden kann, wenn kein Handler auf Prozessebene installiert ist. Ein unberechtigter Remote-Client kann dies mit einer einzigen Preflight-Anfrage auslösen; die Auswirkung beschränkt sich daher ausschließlich auf die Verfügbarkeit (Denial of Service), und zur Ausnutzung ist eine nicht standardmäßige `onSend`-Konfiguration erforderlich. Das Problem wurde in @fastify/cors Version 11.4.0 behoben, bei der `onSend` kein akzeptierter Hook-Wert mehr ist; die Registrierung schlägt mit einer klaren Fehlermeldung fehl, anstatt zur Laufzeit abzustürzen. Benutzer sollten auf Version 11.4.0 oder höher aktualisieren. Als Workaround kann ein anderer Hook wie das standardmäßige `onRequest` verwendet oder `preflight` auf `false` gesetzt werden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.