CVE-2026-84504 in Fastify
요약
\~에 의해 VulDB • 2026. 09. 04.
fastify 버전 5.12.2 미만의 버전에서는 성공적인 Ajv 비동기 검증기가 해결한 객체를 사용자 정의 검증기 컴파일러가 사용하는 값 결과 프로토콜로 취급합니다. 라우트 스키마를 통과하는 요청의 루트에 'value'라는 이름의 속성이 포함되어 있으면, fastify는 핸들러가 실행되기 전에 해당 속성의 값으로 전체 요청 본문을 대체하므로, 핸들러는 스키마를 만족시킨 객체와 다른 객체를 받게 됩니다. 권한이 낮은 인증된 사용자는 이를 통해 중첩된 데이터로 검증된 본문 데이터를 교체하여 라우트 스키마에서 승인하지 않은 작업을 트리거할 수 있으며, 이로 인해 무단 상태 변경 및 데이터 유출이 발생할 수 있습니다. 사용자는 fastify 5.12.2 이상으로 업그레이드해야 합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.