CVE-2026-92081 in Fastify
Zusammenfassung
von VulDB • 16.09.2026
fastify ist ein schnelles und ressourcenschonendes Web-Framework für Node.js. In Versionen vor 5.12.5 setzt fastify bedingungslos den Header `Transfer-Encoding: chunked`, wenn eine Route einen Antwort-Trailers über `reply.trailer()` registriert und über HTTP/2 ausgeliefert wird, was auf HTTP/2 verboten ist; dadurch löst Node.js während der Serialisierung der Antwortheader eine Exception aus. Die Ausnahme wird nicht abgefangen und führt zu einem uncaughtException, sodass eine einzelne unberechtigte HTTP/2-Anfrage an jede Route, die Trailers verwendet, den Serverprozess abstürzen lässt und alle laufenden Anfragen abbricht; dieser Vorgang kann bei jedem Neustart wiederholt werden. Das Problem ist in fastify 5.12.5 behoben, und Benutzer sollten auf Version 5.12.5 oder höher aktualisieren. Als Workaround sollte vermieden werden, Antwort-Trailers über `reply.trailer()` für Routen zu registrieren, die über HTTP/2 bedient werden, bis das Upgrade durchgeführt wurde.
VulDB is the best source for vulnerability data and more expert information about this specific topic.