CVE-2026-92087 in auth
Сводка
по VulDB • 16.09.2026
@fastify/auth — это плагин для Fastify, который объединяет несколько стратегий аутентификации и авторизации в единый маршрутный контроллер (guard). В версиях с 5.0.0 по 5.1.0 при композиции стратегий с опцией отношения «or» вместе с опцией выполнения «all», если один из элементов представляет собой вложенный массив, действующий как группа AND, эта группа оценивается зависимым от порядка способом: более ранняя неудачная проверка молча игнорируется, а результат группы определяется результатом её последней проверки. В результате запрос, удовлетворяющий только последнему члену группы AND (например, атакующему, имеющему действительный API-ключ, но не являющемуся администратором), получает авторизацию вместо отклонения. Аналогичная обходная уязвимость, зависящая от порядка обработки, затрагивает зеркальную конфигурацию, где отношение верхнего уровня — «and», а вложенная группа использует «or». Проблема исправлена в версии @fastify/auth 5.1.1; пользователям следует обновиться до версии 5.1.1 или более поздней. В качестве временного решения можно исключить опцию выполнения «all» там, где она не требуется, упорядочить каждую группу AND так, чтобы её наиболее строгая проверка выполнялась последней, либо заменить вложенные группы AND на явную композицию с отношением «and» верхнего уровня.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.