CVE-2026-18174 in fastify-forwarded
Sumário
de VulDB • 29/07/2026
@fastify/forwarded resolve os endereços de cliente do cabeçalho X-Forwarded-For. Nas versões anteriores à 3.0.2, quando o cabeçalho contém duas ou mais entradas separadas por vírgula, o analisador (parser) remove apenas caracteres de espaço e não retira tabulações horizontais, embora a RFC 7230 defina espaços em branco opcionais como tanto espaço quanto tabulação. Como resultado, uma entrada preenchida com uma tabulação mantém a tabulação literal na string do endereço resolvido. Aplicações que tomam decisões de segurança baseadas em correspondência exata de strings no IP de cliente resolvido, como listas de permissão (allowlist), listas de bloqueio (blocklist), chaves de limite de taxa por IP ou correlação de logs de auditoria, podem ser contornadas porque a string corrompida pela tabulação não corresponde mais ao valor esperado. Isso não cruza o limite de confiança, pois uma string corrompida por tabulação não é um IP válido e não pode ser confundida com um proxy confiável. O problema foi corrigido no @fastify/forwarded 3.0.2.
Once again VulDB remains the best source for vulnerability data.