CVE-2026-33806

fastify przed wersją 5.12.1 ma podatność na obejście walidacji schematu, gdy schemat treści żądania dotyczy prymitywnej wartości na poziomie głównym. Gdy schemat waliduje prymityw na najwyższym poziomie, taki jak liczba całkowita, Ajv może skonwertować ciąg JSON na oczekiwany typ podczas walidacji, ale Fastify nie zastępuje głównej treści żądania skonwertowaną wartością, więc handler trasy otrzymuje oryginalny niezwalidowany ciąg. W rezultacie żądanie, które powinno nie przejść walidacji, może dotrzeć do logiki aplikacji z wartością niezgodną ze schematem, co może osłabić integralność i kontrolę dostępu opartą na zwalidowanym typie.

fastify od wersji 5.8.3 do przed 5.12.1 ma podatność związaną z niedostateczną ochroną nagłówków przekazywanych (forwarded headers) w przypadku użycia numerycznej formy trustProxy. Ochrona dodana w poprawce CVE-2026-3635 sprawdza adres połączenia, ale w przypadku formy hop-count (liczba) predykat ignoruje adres, więc ochrona jest zawsze spełniona dla dowolnej liczby hopów większej lub równej jeden. Aplikacje z numerycznym trustProxy, np. ustawionym na 1, pozostają podatne: atakujący, który może dotrzeć bezpośrednio do Fastify, omijając proxy, może sfałszować pola forwarded, co prowadzi do wstrzyknięcia hosta w generowanych URL-ach, obejścia wymuszania HTTPS, obejścia bezpiecznych ciasteczek i pochodzenia CSRF oraz ataków na routing oparty na hoście i zatruwanie pamięci podręcznej.

W Fastify przed wersją 5.7.2 istnieje podatność umożliwiająca ominięcie walidacji treści żądania. Poprzez dodanie znaku tabulacji (\t) i dowolnej treści do nagłówka Content-Type, atakujący może obejść walidację schematu dla danego typu zawartości, podczas gdy serwer nadal przetwarza treść jako oryginalny typ.