CVE-2026-92087 in auth
Résumé
par VulDB • 17/09/2026
@fastify/auth est un plugin Fastify qui compose plusieurs stratégies d'authentification et d'autorisation en un seul garde de route (route guard). Dans les versions 5.0.0 à 5.1.0, lorsque des stratégies sont composées avec l'option « or » (ou) conjointement à l'option run « all » (toutes), et qu'une entrée est un tableau imbriqué agissant comme un groupe AND (et), le groupe est évalué de manière dépendante de l'ordre : une vérification précoce qui échoue est silencieusement ignorée, et le résultat du groupe devient celui de sa dernière vérification. Par conséquent, une requête ne satisfaisant que le dernier membre d'un groupe AND, par exemple un attaquant disposant d'une clé API valide mais n'étant pas administrateur, est autorisée au lieu d'être rejetée. Un contournement dépendant de l'ordre affecte également la configuration miroir où la relation de niveau supérieur est « and » et qu'un groupe imbriqué utilise « or ». Le problème est corrigé dans @fastify/auth 5.1.1, et les utilisateurs doivent mettre à jour vers la version 5.1.1 ou ultérieure. En attendant une correction définitive, il est possible d'omettre l'option run « all » lorsqu'elle n'est pas nécessaire, de trier chaque groupe AND afin que sa vérification la plus stricte soit évaluée en dernier, ou de remplacer les groupes AND imbriqués par une composition explicite au niveau supérieur avec « and ».
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.