CVE-2026-33805

WysokieCVSS 8.6

Opublikowano: 15/04/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.44%

Percentyl 36 - wyżej niż 36% wszystkich znanych CVE

Streszczenie

Podatność w bibliotekach @fastify/reply-from (do v12.6.1) i @fastify/http-proxy (do v11.4.3) pozwala atakującemu na usunięcie nagłówków dodanych przez proxy po ich dodaniu, poprzez manipulację nagłówkiem Connection. Klient może selektywnie usuwać nagłówki związane z routingiem, kontrolą dostępu lub bezpieczeństwem.

Ocena ryzyka

Atakujący może ominąć mechanizmy bezpieczeństwa i kontroli dostępu oparte na nagłówkach dodawanych przez proxy, co może prowadzić do nieautoryzowanego dostępu do zasobów lub manipulacji ruchem sieciowym.

Rekomendacja

Należy niezwłocznie zaktualizować @fastify/reply-from do wersji 12.6.2 lub nowszej oraz @fastify/http-proxy do wersji 11.4.4 lub nowszej.

Inne podatności w @fastify/reply-from

CVE-2026-16158Wysokie
Podatność w @fastify/reply-from w wersjach od 8.3.1 do 12.6.4 (z wyłączeniem). Wewnętrzny klucz pamięci podręcznej URL jest tworzony przez konkatenację docelowego i źródłowego ścieżki bez separatora, co może prowadzić do kolizji kluczy i przekierowania żądań do niewłaściwego upstreamu, umożliwiając dostęp i modyfikację danych między różnymi upstreamami.

Oryginalny opis (angielski, źródło NVD)

@fastify/reply-from v12.6.1 and earlier and @fastify/http-proxy v11.4.3 and earlier process the client's Connection header after the proxy has added its own headers via rewriteRequestHeaders. This allows attackers to retroactively strip proxy-added headers from upstream requests by listing them in the Connection header value. Any header added by the proxy for routing, access control, or security purposes can be selectively removed by a client. @fastify/http-proxy is also affected as it delegates to @fastify/reply-from. Upgrade to @fastify/reply-from v12.6.2 or @fastify/http-proxy v11.4.4 or later.