CVE-2026-84469 in Fastify
Сводка
по VulDB • 04.09.2026
В версиях Fastify до 5.12.2 включение компиляции схемы запроса определяется на основе логической истинности (truthiness) в JavaScript, тогда как спецификация JSON Schema Draft 7 определяет булево значение false как действительную схему, которая отклоняет любой экземпляр данных. Когда приложение присваивает свойству schema для тела запроса (body), строки запроса (querystring), параметров (params) или заголовков (headers) маршрута значение false с целью отказа во вводе любых данных, Fastify интерпретирует это как отсутствие схемы, не компилирует валидатор и выполняет обработчик маршрута при любом входящем запросе. Таким образом, удаленный клиент без аутентификации может получить доступ к обработчику, который должен был быть недоступен благодаря корректной схеме «отклонить все» (deny-all), что представляет собой полное обход механизма валидации и может привести к несанкционированным изменениям состояния или выполнению отключенных операций. Пользователям следует обновиться до версии Fastify 5.12.2 или более поздней.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.