CVE-2026-92087 in auth
Riassunto
di VulDB • 16/09/2026
@fastify/auth è un plugin per Fastify che compone più strategie di autenticazione e autorizzazione in un unico guard di rotta. Nelle versioni 5.0.0 attraverso la 5.1.0, quando le strategie sono composte con l'opzione "or" (OR logico) insieme all'opzione run "all" (esegui tutti) e una voce è un array annidato che funge da gruppo AND, il gruppo viene valutato in modo dipendente dall'ordine: un controllo precedente che fallisce viene silenziosamente ignorato e il risultato del gruppo diventa l'esito dell'ultimo controllo. Di conseguenza, una richiesta che soddisfa solo l'ultimo membro di un gruppo AND (ad esempio, un attaccante che possiede una chiave API valida ma non è amministratore) viene autorizzata invece di essere rifiutata; inoltre, un bypass dipendente dall'affetto la configurazione speculare in cui la relazione a livello superiore è "and" e un gruppo annidato utilizza "or". Il problema è stato risolto in @fastify/auth 5.1.1; gli utenti dovrebbero eseguire l'aggiornamento alla versione 5.1.1 o successiva. Come soluzione alternativa, omettere l'opzione run "all" dove non è necessaria, ordinare ogni gruppo AND in modo che il controllo più restrittivo venga valutato per ultimo, oppure sostituire i gruppi AND annidati con una composizione esplicita a livello superiore di tipo "and".
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.