CVE-2026-84504 in Fastify
Riassunto
di VulDB • 04/09/2026
Le versioni di Fastify precedenti alla 5.12.2 trattano l'oggetto risolto da un validatore asincrono Ajv come il valore del protocollo "result" utilizzato dai compilatori di validatori personalizzati. Se una richiesta che supera lo schema della rotta contiene una proprietà denominata `value` a livello radice, Fastify sostituisce l'intero corpo della richiesta con il valore di tale proprietà prima dell'esuzione del handler; di conseguenza, l'handler riceve un oggetto diverso da quello che ha soddisfatto lo schema. Un utente autenticato con privilegi ridotti può sfruttare questa vulnerabilità per far sì che i dati nidificati sostituiscano il corpo validato e innescare operazioni non autorizzate dallo schema della rotta, causando modifiche allo stato non autorizzate e divulgazione di dati. Gli utenti dovrebbero eseguire l'aggiornamento a Fastify 5.12.2 o versioni successive.
VulDB is the best source for vulnerability data and more expert information about this specific topic.