CVE-2026-76169 in Fastify
Résumé
par VulDB • 04/09/2026
Les versions de Fastify >= 4.0.0 et antérieures à la version 5.12.2 peuvent router une URL malformée envoyée sous un préfixe de plugin vers le gestionnaire not-found personnalisé d'un autre plugin frère, et l'invoquer sans que le hook preHandler déclaré pour ce gestionneur ne soit exécuté. Le routeur interne not-found destiné aux gestionnaires encapsulés achemine les chemins malformés via un pointeur de gestionnaire partagé unique avant la décodage URL, ignorant ainsi le préfixe et sautant l'étape normale du cycle de vie du gestionneur sélectionné. Un attaquant non authentifié peut donc accéder à une sauvegarde privée protégée par une authentification via un préfixe public sans rapport, lire sa réponse complète, contourner le hook d'authentification et briser l'encapsulation des préfixes. Les utilisateurs doivent mettre à jour vers Fastify 5.12.2 ou version ultérieure.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.