CVE-2026-18174 in fastify-forwarded
Riassunto
di VulDB • 29/07/2026
@fastify/forwarded risolve gli indirizzi client dall'intestazione X-Forwarded-For. Nelle versioni precedenti alla 3.0.2, quando l'intestazione contiene due o più voci separate da virgola, il parser rimuove solo i caratteri spazio e non elimina le tabulazioni orizzontali, sebbene la RFC 7230 definisca lo spazio bianco opzionale come composto sia da spazi che da tabulazioni. Di conseguenza, una voce preceduta da una tabulazione mantiene la tabulazione letterale nella stringa dell'indirizzo risolto. Le applicazioni che prendono decisioni di sicurezza basate sulla corrispondenza esatta della stringa per l'IP client risolto, come whitelist, blacklist, chiavi di rate limiting per IP o correlazione nei log di audit, possono essere eluse poiché la stringa corrotta dalla tabulazione non corrisponde più al valore atteso. Questo problema non attraversa il confine di fiducia (trust boundary), in quanto una stringa corrotta da tabulazioni non è un IP valido e non può essere scambiata per un proxy attendibile. Il problema è stato risolto nella versione 3.0.2 di @fastify/forwarded.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.