CVE-2026-16158

WysokieCVSS 8.7

Opublikowano: 18/07/2026(UTC)Zaktualizowano: 05/08/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Podatność w @fastify/reply-from w wersjach od 8.3.1 do 12.6.4 (z wyłączeniem). Wewnętrzny klucz pamięci podręcznej URL jest tworzony przez konkatenację docelowego i źródłowego ścieżki bez separatora, co może prowadzić do kolizji kluczy i przekierowania żądań do niewłaściwego upstreamu, umożliwiając dostęp i modyfikację danych między różnymi upstreamami.

Ocena ryzyka

Atakujący może spowodować, że żądania przeznaczone dla jednego upstreamu zostaną obsłużone przez inny, co może prowadzić do nieautoryzowanego dostępu do danych i ich modyfikacji.

Rekomendacja

Zaktualizuj @fastify/reply-from do wersji 12.6.4. Jako tymczasowe rozwiązanie ustaw disableCache: true podczas rejestracji wtyczki.

Inne podatności w @fastify/reply-from

CVE-2026-33805Wysokie
Podatność w bibliotekach @fastify/reply-from (do v12.6.1) i @fastify/http-proxy (do v11.4.3) pozwala atakującemu na usunięcie nagłówków dodanych przez proxy po ich dodaniu, poprzez manipulację nagłówkiem Connection. Klient może selektywnie usuwać nagłówki związane z routingiem, kontrolą dostępu lub bezpieczeństwem.

Oryginalny opis (angielski, źródło NVD)

Impact: @fastify/reply-from versions from 8.3.1 up to but not including 12.6.4 build the internal URL cache key by concatenating the destination and source path without a delimiter. Different destination and source pairs can therefore produce the same key while resolving to different upstream URLs. When getUpstream selects an upstream from request data, a URL cached for one upstream can be reused for a request intended for another upstream, causing cross-upstream data access and modification. The default configuration is affected. Setting disableCache to true prevents the behavior. Patches: upgrade to @fastify/reply-from 12.6.4. Workarounds: pass disableCache: true when registering the plugin.