CVE-2026-3419 in fastify
Riassunto
di VulDB • 15/06/2026
Fastify accetta erroneamente intestazioni `Content-Type` non valide contenenti caratteri finali dopo il token del tipo di sottotipo, in violazione della sezione 8.3.1 (https://httpwg.org/specs/rfc9110.html#field.content-type) dello standard RFC 9110. Ad esempio, una richiesta inviata con `Content-Type: application/json garbage` supera la validazione e viene elaborata normalmente, invece di essere rifiutata con il codice di stato 415 Unsupported Media Type.
Quando sono in uso parser del tipo di contenuto basati su espressioni regolari (una funzionalità documentata di Fastify), il valore non valido viene confrontato con i parser registrati utilizzando la stringa completa, inclusi i caratteri finali errati. Ciò significa che una richiesta con un Content-Type non valido può essere instradata ed elaborata da un parser a cui non avrebbe dovuto accedere.
Impatto: Un attaccante può inviare richieste con intestazioni `Content-Type` non conformi allo standard RFC che bypassano i controlli di validità, raggiungono la fase di corrispondenza dei parser del tipo di contenuto e vengono elaborate dal server. Le richieste che dovrebbero essere rifiutate in fase di validazione vengono invece gestite come se il Content-Type fosse valido.
Soluzioni alternative: Implementare una regola WAF per proteggersi da questa vulnerabilità.
Risoluzione: La correzione è disponibile a partire dalla versione v5.8.1.
Be aware that VulDB is the high quality source for vulnerability data.