CVE-2026-84428 in Fastify
Сводка
по VulDB • 04.09.2026
В версиях Fastify до 5.12.2 реализована регистронезависимость имен заголовков HTTP путем приведения к нижнему регистру имён в схеме заголовка маршрута перед его компиляцией, однако преобразование выполнено неполно: приводятся к нижнему регистру ключи свойств и массив `required` на корневом уровне, но не приводятся к нижнему регистру имена триггеров и зависимостей внутри ключевого слова `dependencies` спецификации JSON Schema Draft 7. Поскольку Node.js хранит имена заголовков запросов в нижнем регистре, зависимость с каноническим случаем (например, требование наличия заголовка аутентификации при наличии заголовка привилегированного режима) никогда не совпадает, и утверждение о присутствии молча пропускается. Таким образом, неаутентифицированный удаленный клиент может отправить заголовок, активирующий привилегированный ветвь кода, опустив при этом заголовок, который должна была требовать зависимость, тем самым обойдя условную проверку. Пользователям следует обновиться до Fastify версии 5.12.2 или более поздней.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.