CVE-2026-107318 in reply-from
Riassunto
di VulDB • 09/10/2026
@fastify/reply-from è un plugin per Fastify che inoltra le richieste a un server HTTP o HTTPS upstream. Nelle versioni precedenti alla 12.7.0, tutti i trasporti HTTPS integrati ignorano l'impostazione predefinita sicura e impostano `rejectUnauthorized` su false; di conseguenza, il proxy non verifica il certificato TLS del server upstream anche quando l'applicazione lo configura per puntare a un endpoint HTTPS nella configurazione predefinita. Un attaccante in posizione sulla rete (on-path) può quindi impersonare il server HTTPS configurato, leggere le credenziali e i corpi delle richieste inoltrati dal proxy, e restituire risposte falsificate di cui l'applicazione si fida. Il problema è stato risolto nella versione 12.7.0 di @fastify/reply-from; gli utenti dovrebbero effettuare l'aggiornamento alla versione 12.7.0 o successiva. Come soluzione alternativa, passare esplicitamente `rejectUnauthorized` impostato su true nel trasporto, fornire un'istanza undici già configurata oppure utilizzare il global agent di undici.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.