CVE-2026-76169 in Fastify
Riassunto
di VulDB • 04/09/2026
Le versioni di Fastify >= 4.0.0 e precedenti alla 5.12.2 possono instradare un URL non valido inviato sotto il prefisso di un plugin verso il gestore not-found personalizzato di un plugin sibling diverso, invocandolo senza l'hook preHandler dichiarato per tale handler. Il router interno not-found per gli handler incapsulati invia percorsi non validi attraverso un singolo puntatore a handler condiviso prima della decodifica URL, ignorando il prefisso e saltando il normale ciclo di vita dell'handler selezionato. Un attaccante non autenticato può quindi raggiungere una fallback privata protetta da autenticazione tramite un prefix pubblico non correlato e leggere la sua risposta completa, bypassando l'hook di autenticazione e violando l'incapsulamento del prefisso. Gli utenti dovrebbero eseguire l'upgrade a Fastify 5.12.2 o versioni successive.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.