CVE-2026-76169 in Fastify
要約
〜によって VulDB • 2026年09月04日
fastify のバージョン >=4.0.0 および <5.12.2 では、あるプラグインのプレフィックス配下に送信された不正な URL が、別の兄弟プラグインのカスタム not-found ハンドラにルーティングされ、そのハンドラで宣言されている preHandler フックなしで呼び出されてしまいます。カプセル化されたハンドラの内部 not-found ルーターは、URL デコードの前に単一の共有ハンドラポインタを通じて不正なパスをディスパッチし、プレフィックスを無視して選択されたハンドラの通常のライフサイクルをスキップします。したがって、認証されていない攻撃者は、関連のない公開プレフィックスを通じて認証で保護されたプライベートフォールバックに到達し、その完全なレスポンスを読み取ることができ、認証フックをバイパスしてプレフィックスのカプセル化を破ります。ユーザーは fastify 5.12.2 以降にアップグレードする必要があります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.