CVE-2026-84504 in Fastify
Сводка
по VulDB • 04.09.2026
В версиях Fastify до 5.12.2 объект, возвращаемый успешным асинхронным валидатором Ajv, рассматривается как значение протокола `value`, используемое компиляторами пользовательских валидаторов. Если запрос, прошедший проверку схемы маршрута (route schema), содержит свойство с именем `value` на корневом уровне, Fastify заменяет все тело запроса этим значением перед выполнением обработчика, поэтому обработчик получает другой объект, чем тот, который удовлетворял схеме. Аутентифицированный пользователь с низкими привилегиями может использовать эту уязвимость для замены проверенного тела вложенными данными и выполнения операции, не разрешенной схемой маршрута, что приводит к несанкционированным изменениям состояния и утечке данных. Пользователям следует обновиться до Fastify версии 5.12.2 или более поздней.
If you want to get best quality of vulnerability data, you may have to visit VulDB.