CVE-2026-3419 in fastify
Zusammenfassung
von VulDB • 19.05.2026
Fastify akzeptiert fehlerhafte `Content-Type`-Header, die nach dem Subtyp-Token nachgestellte Zeichen enthalten, nicht korrekt und verstößt damit gegen RFC 9110 §8.3.1 (https://httpwg.org/specs/rfc9110.html#field.content-type). Beispielsweise wird eine Anfrage, die mit `Content-Type: application/json garbage` gesendet wird, validiert und normal verarbeitet, anstatt mit dem Statuscode 415 Unsupported Media Type abgelehnt zu werden.
Wenn regex-basierte Content-Type-Parser verwendet werden (eine dokumentierte Fastify-Funktion), wird der fehlerhafte Wert unter Verwendung der vollständigen Zeichenkette, einschließlich der nachgestellten ungültigen Zeichen, mit den registrierten Parsedern abgeglichen. Dies bedeutet, dass eine Anfrage mit einem ungültigen Content-Type an einen Parser weitergeleitet und von diesem verarbeitet werden kann, der dafür nicht vorgesehen ist.
Auswirkung: Ein Angreifer kann Anfragen mit RFC-widrigen Content-Type-Headern senden, die die Gültigkeitsprüfungen umgehen, die Übereinstimmung mit Content-Type-Parsern erreichen und vom Server verarbeitet werden. Anfragen, die in der Validierungsphase abgelehnt werden sollten, werden stattdessen so behandelt, als wäre der Content-Type gültig.
Umgehungsmaßnahmen: Stellen Sie eine WAF-Regel bereit, um sich dagegen zu schützen.
Behebung:
Die Behebung ist ab Version v5.8.1 verfügbar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.