CVE-2026-107318
WysokieCVSS 7.4Streszczenie
@fastify/reply-from to plugin Fastify, który przekazuje żądania do serwera nadrzędnego HTTP lub HTTPS. W wersjach przed 12.7.0 wszystkie wbudowane transporty HTTPS nadpisują domyślne bezpieczne ustawienie i ustawiają rejectUnauthorized na false, więc proxy nie weryfikuje certyfikatu TLS serwera nadrzędnego, nawet gdy aplikacja wskazuje na https w domyślnej konfiguracji. Atakujący w sieci może podszyć się pod skonfigurowany serwer HTTPS, odczytać dane uwierzytelniające i treści żądań przekazywanych przez proxy oraz zwrócić sfałszowane odpowiedzi, którym aplikacja ufa. Problem został naprawiony w @fastify/reply-from 12.7.0, a użytkownicy powinni zaktualizować do wersji 12.7.0 lub nowszej. Jako obejście można przekazać jawne rejectUnauthorized true w transporcie, dostarczyć już skonfigurowaną instancję undici lub użyć globalnego agenta undici.
Ocena ryzyka
Atakujący w sieci może przechwycić dane uwierzytelniające i treści żądań, a także zwrócić sfałszowane odpowiedzi, co prowadzi do naruszenia poufności i integralności komunikacji. Może to skutkować nieautoryzowanym dostępem do systemów nadrzędnych.
Rekomendacja
Zaktualizuj @fastify/reply-from do wersji 12.7.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, zastosuj obejście: ustaw rejectUnauthorized na true w transporcie, użyj skonfigurowanej instancji undici lub globalnego agenta undici.
Inne podatności w @fastify/reply-from
Zobacz wszystkie- CVE-2026-16158Wysokie
Podatność w @fastify/reply-from w wersjach od 8.3.1 do 12.6.4 (z wyłączeniem). Wewnętrzny klucz pamięci podręcznej URL jest tworzony przez konkatenację docelowego i źródłowego ścieżki bez separatora, co może prowadzić do kolizji kluczy i przekierowania żądań do niewłaściwego upstreamu, umożliwiając dostęp i modyfikację danych między różnymi upstreamami.
- CVE-2026-33805Wysokie
Podatność w bibliotekach @fastify/reply-from (do v12.6.1) i @fastify/http-proxy (do v11.4.3) pozwala atakującemu na usunięcie nagłówków dodanych przez proxy po ich dodaniu, poprzez manipulację nagłówkiem Connection. Klient może selektywnie usuwać nagłówki związane z routingiem, kontrolą dostępu lub bezpieczeństwem.
Oryginalny opis (angielski, źródło NVD)
@fastify/reply-from is a Fastify plugin that forwards requests to an upstream HTTP or HTTPS server. In versions prior to 12.7.0, all of the built-in HTTPS transports override the secure default and set rejectUnauthorized to false, so the proxy does not verify the TLS certificate of the upstream even when the application points it at an https upstream in the default configuration. An on-path network attacker can therefore impersonate the configured HTTPS upstream, read the credentials and request bodies the proxy forwards, and return forged responses that the application trusts. The issue is fixed in @fastify/reply-from 12.7.0, and users should upgrade to 12.7.0 or later. As a workaround, pass an explicit rejectUnauthorized true on the transport, supply an already configured undici instance, or use the undici global agent.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS