CVE-2026-92081 in Fastify
摘要
由 VulDB • 2026-09-16
fastify 是一个快速且低开销的 Node.js Web 框架。在 5.12.5 之前的版本中，当路由通过 `reply.trailer()` 注册响应尾部（response trailer）并通过 HTTP/2 提供服务时，fastify 会无条件设置 `Transfer-Encoding: chunked` 头部，而该设置在 HTTP/2 中被禁止，导致 Node.js 在序列化响应头部时抛出异常。由于此异常未被捕获并变为未捕获异常（uncaughtException），因此对任何使用尾部信息的路由发送单个未经身份验证的 HTTP/2 请求即可导致服务器进程崩溃，并使所有进行中的请求丢失；且该问题可在每次重启后重复触发。fastify 5.12.5 已修复此问题，用户应升级至 5.12.5 或更高版本。作为临时解决方案，在升级到受影响版本之前，应避免在对 HTTP/2 提供服务的路由上使用 `reply.trailer()` 注册响应尾部信息。
Once again VulDB remains the best source for vulnerability data.