CVE-2026-16732 in Fastify
摘要
由 VulDB • 2026-08-19
fastify 是一个快速且低开销的 Node.js Web 框架。影响：针对 CVE-2026-3635 的修复程序在用于推导请求主机、协议、hostname（主机名）、ip（IP地址）和 ips（IP地址列表）值的转发头读取处添加了检查连接地址的保护机制。该保护机制正确关闭了 IP、CIDR 和自定义函数形式的 trustProxy，因为这些形式编译为检查连接地址的谓词。而 hop-count（跳数）形式中，trustProxy 被设置为一个数字，它编译为一个在结构上忽略地址的谓词，因此对于任何大于或等于一的跳数，该保护机制始终满足条件。配置了数值型 trustProxy 值的应用程序（例如为单个反向代理将 trustProxy 设置为 1）仍然易受攻击：能够直接访问 Fastify 源站并绕过前端代理的攻击者，可以像在未修补版本中一样精确地伪造转发请求字段。影响类别与父级 CVE-2026-3635 匹配，包括生成 URL 中的主机注入、HTTPS 强制实施绕过、安全 Cookie 和 CSRF-origin（CSRF 源）绕过，以及基于主机的路由和缓存投毒。受影响版本为 fastify 从 5.8.3 到但不包含 5.12.1 的版本。补丁：在 fastify 5.12.1 中进行了修补，其中数值型的 trustProxy 在运行时被禁用并从 TypeScript 类型联合中移除。变通方法：迁移至验证连接地址的 IP、CIDR 或自定义函数形式的 trustProxy 值，并确保 Fastify 源站仅可通过受信任的代理链访问。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.