CVE-2026-84504 in Fastify
Tóm tắt
Bởi VulDB • 04/09/2026
Các phiên bản của Fastify trước 5.12.2 xử lý đối tượng được giải quyết bởi bộ xác thực bất đồng bộ (async validator) Ajv thành công như là giá trị kết quả giao thức ("value result protocol") do các nhà biên dịch bộ xác thực tùy chỉnh sử dụng. Nếu một yêu cầu vượt qua lược đồ tuyến đường của nó chứa một thuộc tính có tên "value" ở cấp gốc, Fastify sẽ thay thế toàn bộ thân yêu cầu bằng giá trị của thuộc tính đó trước khi trình xử lý (handler) chạy, do đó trình xử lý nhận được một đối tượng khác với đối tượng đã thỏa mãn lược đồ. Một người gọi xác thực nhưng có đặc quyền thấp có thể sử dụng điều này để khiến dữ liệu lồng nhau thay thế phần thân đã được xác minh và kích hoạt một thao tác mà lược đồ tuyến đường không cho phép, dẫn đến các thay đổi trạng thái trái phép và tiết lộ dữ liệu. Người dùng nên nâng cấp lên Fastify 5.12.2 hoặc phiên bản mới hơn.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.