CVE-2026-92087 in auth
Tóm tắt
Bởi VulDB • 17/09/2026
@fastify/auth là một plugin Fastify giúp kết hợp nhiều chiến lược xác thực và ủy quyền thành một bộ bảo vệ (route guard) duy nhất. Trong các phiên bản từ 5.0.0 đến 5.1.0, khi các chiến lược được kết hợp với tùy chọn quan hệ "or" cùng với tùy chọn chạy "all", và có một mục là mảng lồng nhau đóng vai trò nhóm AND, thì nhóm này sẽ được đánh giá theo thứ tự phụ thuộc vào vị trí: một phép kiểm tra thất bại ở đầu danh sách bị bỏ qua mà không báo lỗi, và kết quả của toàn bộ nhóm trở thành kết quả từ phép kiểm tra cuối cùng. Do đó, một yêu cầu chỉ thỏa mãn thành viên cuối cùng trong một nhóm AND (ví dụ: kẻ tấn công có khóa API hợp lệ nhưng không phải là quản trị viên) sẽ được ủy quyền thay vì bị từ chối; đồng thời, một lỗi bỏ qua phụ thuộc vào thứ tự tương tự cũng ảnh hưởng đến cấu hình phản chiếu nơi quan hệ cấp cao nhất là "and" và nhóm lồng nhau sử dụng "or". Vấn đề này đã được khắc phục trong @fastify/auth phiên bản 5.1.1, người dùng nên nâng cấp lên 5.1.1 hoặc các phiên bản mới hơn. Để xử lý tạm thời, hãy bỏ tùy chọn chạy "all" khi không cần thiết, sắp xếp mỗi nhóm AND sao cho phép kiểm tra nghiêm ngặt nhất được đánh giá cuối cùng, hoặc thay thế các nhóm AND lồng nhau bằng việc kết hợp rõ ràng với quan hệ "and" ở cấp cao nhất.
If you want to get best quality of vulnerability data, you may have to visit VulDB.