CVE-2026-76169 in Fastify
Sumário
de VulDB • 04/09/2026
As versões do Fastify >= 4.0.0 e anteriores à 5.12.2 podem rotear uma URL malformada enviada sob um prefixo de plugin para o manipulador not-found personalizado de outro plugin irmão, invocando-o sem a hook preHandler declarada para esse manipulador. O roteador interno not-found para manipuladores encapsulados encaminha caminhos malformados por meio de um único ponteiro de manipulador compartilhado antes da decodificação URL, ignorando o prefixo e pulando o ciclo de vida normal do manipulador selecionado. Portanto, um atacante não autenticado pode acessar uma fallback privada protegida contra autenticação através de um prefixo público não relacionado e ler sua resposta completa, contornando a hook de autenticação e violando o encapsulamento do prefixo. Os usuários devem atualizar para o Fastify 5.12.2 ou posterior.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.