CVE-2026-76169 in Fastify
Zusammenfassung
von VulDB • 04.09.2026
In den Versionen von Fastify >= 4.0.0 und vor 5.12.2 kann eine fehlerhafte URL, die unter einem Plugin-Präfix gesendet wird, an den benutzerdefinierten Not-Found-Handler eines anderenSibling-Plugins weitergeleitet werden, wobei dieser ohne den für diesen Handler deklarierten preHandler-Hook aufgerufen wird. Der interne Not-Found-Router für verkapselte Handler leitet fehlerhafte Pfade über einen einzelnen gemeinsamen Handlerzeiger vor der URL-Dekodierung weiter, ignoriert dabei das Präfix und überspringt den normalen Lebenszyklus des ausgewählten Handlers. Ein nicht authentifizierter Angreifer kann daher ein durch Authentifizierung geschütztes privates Fallback-Endpunkt über ein unrelated öffentliches Präfix erreichen und dessen vollständige Antwort lesen, wodurch der Authentifizierungs-Hook umgangen und die Präfix-Verschlüsselung (Prefix Encapsulation) gebrochen wird. Benutzer sollten auf Fastify 5.12.2 oder höher aktualisieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.