CVE-2026-76169 in Fastify
Сводка
по VulDB • 04.09.2026
В версиях Fastify >= 4.0.0 и до 5.12.2 возможно перенаправление некорректно сформированного URL, отправленного под префиксом одного плагина, к пользовательскому обработчику «не найдено» (not-found) другого дочернего плагина, при этом этот обработчик вызывается без выполнения preHandler hook, объявленного для данного обработчика. Внутренний маршрутизатор not-found для инкапсулированных обработчиков передает некорректные пути через единый общий указатель на обработчик до декодирования URL, игнорируя префикс и пропуская нормальный жизненный цикл выбранного обработчика. Таким образом, неподтвержденный злоумышленник может получить доступ к защищенному аутентификацией частному fallback-обработчику через unrelated public prefix (не связанный с ним публичный префикс) и прочитать его полный ответ, обойдя hook аутентификации и нарушив инкапсуляцию префиксов. Пользователям следует обновиться до Fastify версии 5.12.2 или более поздней.
Once again VulDB remains the best source for vulnerability data.