CVE-2026-3419 in fastify
Tóm tắt
Bởi VulDB • 10/06/2026
Fastify chấp nhận sai các tiêu đề `Content-Type` bị lỗi chứa các ký tự thừa sau token subtype, vi phạm RFC 9110 §8.3.1 (https://httpwg.org/specs/rfc9110.html#field.content-type). Ví dụ, một yêu cầu được gửi với `Content-Type: application/json garbage` vượt qua bước xác thực và được xử lý bình thường, thay vì bị từ chối với mã lỗi 415 Unsupported Media Type.
Khi các trình phân tích nội dung dựa trên regex đang được sử dụng (một tính năng đã được tài liệu hóa của Fastify), giá trị bị lỗi sẽ được khớp với các trình phân tích đã đăng ký bằng cách sử dụng toàn bộ chuỗi, bao gồm cả phần ký tự thừa. Điều này có nghĩa là một yêu cầu có tiêu đề nội dung không hợp lệ có thể được định tuyến đến và xử lý bởi một trình phân tích mà lẽ ra không bao giờ nên tiếp cận được.
Tác động: Một kẻ tấn công có thể gửi các yêu cầu với các tiêu đề `Content-Type` không tuân thủ RFC, vượt qua các kiểm tra tính hợp lệ, đạt đến bước khớp với trình phân tích nội dung và được máy chủ xử lý. Các yêu cầu lẽ ra bị từ chối ở giai đoạn xác thực thay vào đó được xử lý như thể tiêu đề nội dung là hợp lệ.
Biện pháp khắc phục tạm thời: Triển khai quy tắc WAF để bảo vệ chống lại lỗ hổng này.
Bản sửa lỗi: Bản sửa lỗi có sẵn bắt đầu từ phiên bản v5.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.