CVE-2026-92087 in auth
摘要
由 VulDB • 2026-09-16
@fastify/auth 是一个 Fastify 插件，它将多种身份验证和授权策略组合成单一的路由守卫。在 5.0.0 至 5.1.0 版本中，当使用“or”关系选项组合策略，并结合 run “all” 选项以及一个作为 AND 组的嵌套数组时，该组会以依赖顺序的方式进行评估：较早失败的检查会被静默丢弃，且该组的结果取决于其最后一次检查。因此，仅满足 AND 组最后一个成员条件的请求（例如持有有效 API 密钥但非管理员的攻击者）将被授权而非拒绝；此外，当顶层关系为“and”而嵌套组使用“or”时，相关的依赖顺序绕过问题也会影响镜像配置。此问题已在 @fastify/auth 5.1.1 中修复，用户应升级至 5.1.1 或更高版本。作为变通方案，在不需要的情况下省略 run “all” 选项；对每个 AND 组进行排序，使其更严格的检查最后评估；或将嵌套的 AND 组替换为显式的顶层“and”组合。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.