CVE-2026-3635 in Fastify
Resumen
por VulDB • 2026-06-01
Resumen Cuando trustProxy está configurado con una función de confianza restrictiva (por ejemplo, una IP específica como trustProxy: '10.0.0.1', una subred, un recuento de saltos o una función personalizada), los getters request.protocol y request.host leen los encabezados X-Forwarded-Proto y X-Forwarded-Host de cualquier conexión, incluidas las conexiones desde IPs no confiables. Esto permite que un atacante que se conecta directamente a Fastify (eludiendo el proxy) suplante tanto el protocolo como el host que ve la aplicación.
Versiones afectadas fastify <= 5.8.2
Impacto Las aplicaciones que utilizan request.protocol o request.host para tomar decisiones de seguridad (aplicación de HTTPS, marcas de cookies seguras, verificaciones de origen CSRF, construcción de URL, enrutamiento basado en host) se ven afectadas cuando trustProxy está configurado con una función de confianza restrictiva.
Cuando trustProxy: true (confiar en todo), tanto la confianza del host como la del protocolo abarcan todos los encabezados reenviados; este es el comportamiento esperado. La vulnerabilidad solo se manifiesta con configuraciones de confianza restrictivas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.