CVE-2026-84504

W fastify przed wersją 5.12.5, gdy trasa rejestruje nagłówek trailer przez reply.trailer() i jest obsługiwana przez HTTP/2, fastify bezwarunkowo ustawia nagłówek Transfer-Encoding: chunked, co jest zabronione w HTTP/2, powodując błąd Node.js podczas serializacji nagłówków odpowiedzi. Wyjątek nie jest przechwytywany i staje się uncaughtException, więc pojedyncze nieuwierzytelnione żądanie HTTP/2 do dowolnej trasy używającej trailerów powoduje awarię serwera i porzucenie wszystkich bieżących żądań; można to powtarzać po każdym restarcie. Problem naprawiono w fastify 5.12.5.

W fastify przed wersją 5.12.2 implementacja niewrażliwości na wielkość liter w nazwach nagłówków HTTP polega na zamianie nazw na małe litery w schemacie nagłówków trasy przed kompilacją, ale transformacja jest niekompletna: zamienia na małe litery klucze właściwości i tablicę required na poziomie głównym, ale nie zamienia nazw trigger i dependent wewnątrz słowa kluczowego dependencies w JSON Schema Draft 7. Ponieważ Node przechowuje nazwy nagłówków żądań małymi literami, zależność w formacie kanonicznym, np. wymagająca nagłówka uwierzytelniającego, gdy obecny jest nagłówek trybu uprzywilejowanego, nigdy nie jest spełniona, a asercja obecności jest po cichu pomijana. Nieuwierzytelniony zdalny klient może zatem wysłać nagłówek aktywujący uprzywilejowaną gałąź, pomijając nagłówek, którego zależność miała wymagać, obchodząc warunkowe sprawdzenie.

Wersje fastify przed 5.12.2 decydują, czy skompilować schemat żądania, na podstawie prawdziwości JavaScript, ale JSON Schema Draft 7 definiuje wartość false jako prawidłowy schemat, który odrzuca każde wystąpienie. Gdy aplikacja przypisze false do schematu body, querystring, params lub headers trasy, aby odrzucić wszystkie dane wejściowe, fastify traktuje to jako brak schematu, nie kompiluje walidatora i uruchamia handler trasy na każdym żądaniu. Nieuwierzytelniony zdalny klient może zatem dotrzeć do handlera, który zgodnie z zamysłem miał być nieosiągalny, co stanowi całkowite obejście walidacji i może prowadzić do nieautoryzowanych zmian stanu lub wykonania wyłączonych operacji.

Wersje fastify od 4.0.0 do przed 5.12.2 mogą kierować źle sformatowany URL wysłany pod prefiksem jednej wtyczki do niestandardowego handlera not-found innej wtyczki i wywoływać go bez hooka preHandler zadeklarowanego dla tego handlera. Wewnętrzny router not-found dla enkapsulowanych handlerów kieruje błędne ścieżki przez wspólny wskaźnik handlera przed dekodowaniem URL, ignorując prefiks i pomijając normalny cykl życia wybranego handlera. Nieuwierzytelniony atakujący może zatem dotrzeć do chronionego uwierzytelnianiem prywatnego fallbacku przez niepowiązany publiczny prefiks i odczytać jego pełną odpowiedź, omijając hook uwierzytelniający i łamiąc enkapsulację prefiksu.

fastify przed wersją 5.12.1 ma podatność na obejście walidacji schematu, gdy schemat treści żądania dotyczy prymitywnej wartości na poziomie głównym. Gdy schemat waliduje prymityw na najwyższym poziomie, taki jak liczba całkowita, Ajv może skonwertować ciąg JSON na oczekiwany typ podczas walidacji, ale Fastify nie zastępuje głównej treści żądania skonwertowaną wartością, więc handler trasy otrzymuje oryginalny niezwalidowany ciąg. W rezultacie żądanie, które powinno nie przejść walidacji, może dotrzeć do logiki aplikacji z wartością niezgodną ze schematem, co może osłabić integralność i kontrolę dostępu opartą na zwalidowanym typie.

fastify od wersji 5.8.3 do przed 5.12.1 ma podatność związaną z niedostateczną ochroną nagłówków przekazywanych (forwarded headers) w przypadku użycia numerycznej formy trustProxy. Ochrona dodana w poprawce CVE-2026-3635 sprawdza adres połączenia, ale w przypadku formy hop-count (liczba) predykat ignoruje adres, więc ochrona jest zawsze spełniona dla dowolnej liczby hopów większej lub równej jeden. Aplikacje z numerycznym trustProxy, np. ustawionym na 1, pozostają podatne: atakujący, który może dotrzeć bezpośrednio do Fastify, omijając proxy, może sfałszować pola forwarded, co prowadzi do wstrzyknięcia hosta w generowanych URL-ach, obejścia wymuszania HTTPS, obejścia bezpiecznych ciasteczek i pochodzenia CSRF oraz ataków na routing oparty na hoście i zatruwanie pamięci podręcznej.

Podatność w Fastify umożliwia ominięcie walidacji treści żądania poprzez dodanie spacji na początku nagłówka Content-Type. Błąd został wprowadzony w wersji 5.3.2 podczas naprawy CVE-2025-32442.

W Fastify przed wersją 5.7.2 istnieje podatność umożliwiająca ominięcie walidacji treści żądania. Poprzez dodanie znaku tabulacji (\t) i dowolnej treści do nagłówka Content-Type, atakujący może obejść walidację schematu dla danego typu zawartości, podczas gdy serwer nadal przetwarza treść jako oryginalny typ.