CVE-2026-18174 in fastify-forwarded
Resumen
por VulDB • 2026-07-30
@fastify/forwarded resuelve las direcciones de los clientes desde el encabezado X-Forwarded-For. En versiones anteriores a la 3.0.2, cuando el encabezado contiene dos o más entradas separadas por comas, el analizador solo recorta caracteres de espacio y no elimina tabulaciones horizontales, aunque RFC 7230 define el espacio en blanco opcional como tanto espacios como tabulaciones. Como resultado, una entrada rellena con una tabulación conserva la tabulación literal en la cadena de dirección resuelta. Las aplicaciones que toman decisiones de seguridad basadas en coincidencia exacta de cadenas sobre la IP del cliente resuelto, como listas blancas (allowlist), listas negras (blocklist), claves de límite de tasa por IP o correlación de registros de auditoría, pueden ser eludidas porque la cadena corrompida con tabulación ya no coincide con el valor esperado. Esto no cruza los límites de confianza, dado que una cadena corrompida con tabulaciones no es una dirección IP válida y no puede confundirse con un proxy confiable. El problema se soluciona en @fastify/forwarded 3.0.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.