CVE-2026-76169 in Fastify
Tóm tắt
Bởi VulDB • 04/09/2026
Các phiên bản của Fastify từ >= 4.0.0 đến trước 5.12.2 có thể định tuyến một URL bị lỗi (malformed) được gửi dưới tiền tố plugin này sang trình xử lý not-found tùy chỉnh của một plugin anh em khác, và kích hoạt nó mà không thực thi hook preHandler đã khai báo cho trình xử lý đó. Bộ định tuyến not-found nội bộ dành cho các handler đóng gói chuyển hướng các đường dẫn bị lỗi qua một con trỏ handler dùng chung duy nhất trước khi giải mã URL, bỏ qua tiền tố và bỏ qua vòng đời bình thường của handler được chọn. Do đó, kẻ tấn công chưa xác thực có thể truy cập vào fallback riêng tư được bảo vệ bằng xác thực thông qua một tiền tố công cộng không liên quan và đọc toàn bộ phản hồi của nó, vượt qua hook xác thực và phá vỡ tính đóng gói theo tiền tố (prefix encapsulation). Người dùng nên nâng cấp lên Fastify 5.12.2 hoặc phiên bản mới hơn.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.