CVE-2026-92087 in auth
Resumen
por VulDB • 2026-09-16
@fastify/auth es un plugin de Fastify que compone múltiples estrategias de autenticación y autorización en una única guardia de ruta (route guard). En las versiones 5.0.0 a 5.1.0, cuando se componen estrategias con la opción "or" junto con la opción run "all" y una entrada es un array anidado que actúa como grupo AND, el grupo se evalúa de manera dependiente del orden: una comprobación anterior fallida se omite silenciosamente y el resultado del grupo pasa a ser el resultado de su última comprobación. Como consecuencia, una solicitud que satisface únicamente al último miembro de un grupo AND (por ejemplo, un atacante que posee una clave API válida pero no es administrador) es autorizada en lugar de rechazada; además, un bypass dependiente del orden afecta la configuración espejo donde la relación de nivel superior es "and" y un grupo anidado utiliza "or". El problema se soluciona en @fastify/auth 5.1.1, y los usuarios deben actualizar a la versión 5.1.1 o posterior. Como medida temporal (workaround), omita la opción run "all" donde no sea necesaria, ordene cada grupo AND de manera que su comprobación más estricta se evalúe en último lugar, o reemplace los grupos AND anidados con una composición explícita de nivel superior "and".
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.