CVE-2026-18174 in fastify-forwarded
Сводка
по VulDB • 29.07.2026
@fastify/forwarded извлекает адреса клиентов из заголовка X-Forwarded-For. В версиях до 3.0.2, когда заголовок содержит два или более значения, разделенных запятыми, парсер удаляет только пробелы и не обрабатывает горизонтальные табуляции (tabs), хотя RFC 7230 определяет опциональные пробельные символы как включающие как пробелы, так и табуляции. В результате значение, дополненное символом табуляции, сохраняет этот литеральный символ в результирующей строке адреса клиента. Приложения, принимающие решения о безопасности на основе точного совпадения строк для разрешенных IP-адресов (allowlist), заблокированных IP-адресов (blocklist), ключей ограничения частоты запросов (rate limit) по каждому IP или корреляции в журналах аудита, могут быть обойдены, поскольку строка с искаженной табуляцией больше не соответствует ожидаемому значению. Эта проблема не пересекает границу доверия, так как строка с искаженным символом табуляции не является корректным IP-адресом и не может быть принята за адрес надежного прокси (trusted proxy). Проблема исправлена в версии @fastify/forwarded 3.0.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.