CVE-2026-18174 in fastify-forwarded
要約
〜によって VulDB • 2026年07月29日
@fastify/forwarded は、X-Forwarded-For ヘッダーからクライアントアドレスを解決します。バージョン 3.0.2 より前のバージョンでは、ヘッダーにカンマ区切りのエントリが2つ以上含まれている場合、パーサーはスペース文字のみをトリミングし、RFC 7230 で任意の空白として定義されているタブ文字は除去しません。その結果、タブでパディングされたエントリには、解決されたアドレス文字列内にリテラルなタブが残ります。許可リスト（allowlist）、ブロックリスト（blocklist）、IPごとのレート制限キー、監査ログ相関など、解決されたクライアントIPに対して厳密な文字列一致に基づくセキュリティ判断を行うアプリケーションは、タブによって改ざんされた文字列が期待値と一致しなくなるため、これを回避される可能性があります。これは信頼境界を越えるものではなく、タブで改ざんされた文字列は無効なIPアドレスであり、信頼できるプロキシと誤認されることはないからです。この問題は @fastify/forwarded 3.0.2 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.