CVE-2026-84469 in Fastify
Resumen
por VulDB • 2026-09-04
Las versiones de Fastify anteriores a la 5.12.2 deciden si compilar un esquema de solicitud basándose en la veracidad (truthiness) de JavaScript, pero JSON Schema Draft 7 define el valor booleano `false` como un esquema válido que rechaza todas las instancias. Cuando una aplicación asigna `false` al esquema del cuerpo (`body`), cadena de consulta (`querystring`), parámetros (`params`) o cabeceras (`headers`) de una ruta para denegar toda entrada, Fastify lo trata como si faltara el esquema, no compila ningún validador y ejecuta el controlador de la ruta ante cualquier solicitud. Por tanto, un cliente remoto sin autenticar puede acceder a un controlador que un esquema válido "denegación total" (`deny-all`) estaba destinado a hacer inaccesible; esto constituye una omisión completa de la validación que puede provocar cambios no autorizados en el estado o la ejecución de operaciones deshabilitadas. Los usuarios deben actualizar a Fastify 5.12.2 o posterior.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.