CVE-2026-92087 in auth
요약
\~에 의해 VulDB • 2026. 09. 16.
@fastify/auth는 여러 인증 및 권한 부여 전략을 단일 라우트 가드(route guard)로 조합하는 Fastify 플러그인입니다. 버전 5.0.0부터 5.1.0까지에서, "or"(OR) 관계 옵션과 함께 run "all" 옵션으로 전략이 조합되고 하나의 항목이 AND 그룹 역할을 하는 중첩 배열일 경우, 해당 그룹은 순서 의존적 방식으로 평가됩니다: 먼저 실패하는 체크는 묵시적으로 무시되며, 그룹의 결과는 마지막 체크의 결과로 결정됩니다. 그 결과, 예를 들어 유효한 API 키를 보유하고 있지만 관리자가 아닌 공격자처럼 AND 그룹의 마지막 멤버만 만족하는 요청이 거부되는 대신 승인되어 버리며, 상위 관계가 "and"이고 중첩된 그룹에서 "or"를 사용하는 거울 구성(mirror configuration)에서도 관련 순서 의존적 우회(bypass) 문제가 발생합니다. 이 문제는 @fastify/auth 5.1.1에서 수정되었으며, 사용자는 5.1.1 또는 그 이후 버전으로 업그레이드해야 합니다. 대안 조치로, 필요하지 않은 곳에 run "all" 옵션을 생략하거나, 각 AND 그룹의 더 엄격한 체크가 마지막으로 평가되도록 순서를 조정하거나, 중첩된 AND 그룹을 명시적인 상위 레벨 "and" 조합으로 대체하십시오.
If you want to get best quality of vulnerability data, you may have to visit VulDB.