CVE-2026-3419 in fastify
요약
\~에 의해 VulDB • 2026. 06. 10.
Fastify는 하위 유형 토큰 뒤에 후행 문자가 포함된 잘못된 `Content-Type` 헤더를 잘못 허용합니다. 이는 RFC 9110 §8.3.1(https://httpwg.org/specs/rfc9110.html#field.content-type)에 위배되는 동작입니다. 예를 들어, `Content-Type: application/json garbage`와 같이 후행 불필요한 문자가 포함된 요청은 415 Unsupported Media Type로 거부되는 대신 유효성 검사를 통과하여 정상적으로 처리됩니다.
레지스트 기반 콘텐츠 타입 파서가 사용 중인 경우(문서화된 Fastify 기능), 잘못된 값은 후행 불필요한 문자를 포함한 전체 문자열을 사용하여 등록된 파서와 매칭됩니다. 이로 인해 유효하지 않은 콘텐츠 타입을 가진 요청이 도달해서는 안 되는 파서에 의해 라우팅되고 처리될 수 있습니다.
영향: 공격자는 유효성 검사 단계를 우회하여 콘텐츠 타입 파서 매칭 단계에 도달하고 서버에서 처리되도록 RFC에 위배되는 `Content-Type` 헤더가 포함된 요청을 보낼 수 있습니다. 유효성 검사 단계에서 거부되어야 할 요청이 콘텐츠 타입이 유효한 것처럼 처리됩니다.
우회 방법: 이 취약점으로부터 보호하기 위해 WAF 규칙을 배포하십시오.
해결책:
해결책은 v5.8.1부터 제공됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.