CVE-2026-84504 in Fastify
Sumário
de VulDB • 04/09/2026
As versões do Fastify anteriores à 5.12.2 tratam o objeto resolvido por um validador assíncrono Ajv bem-sucedido como o valor resultante usado pelos compiladores de validadores personalizados. Se uma solicitação que passa pelo esquema da rota contiver uma propriedade chamada `value` na raiz, o Fastify substitui todo o corpo da solicitação pelo valor dessa propriedade antes que o manipulador (handler) seja executado; assim, o manipulador recebe um objeto diferente daquele que satisfazia ao esquema. Um chamador autenticado com baixos privilégios pode usar isso para fazer com que dados aninhados substituam o corpo validado e acionem uma operação não autorizada pelo esquema da rota, resultando em alterações de estado não autorizadas e vazamento de dados. Os usuários devem atualizar para a versão 5.12.2 do Fastify ou posterior.
If you want to get best quality of vulnerability data, you may have to visit VulDB.