CVE-2026-18504

ملخص

fastify هو إطار عمل ويب سريع ومنخفض الحمل لـ Node.js. الإصدارات من fastify قبل 5.12.1 تتأثر بثغرة تجاوز التحقق من المخطط (schema validation bypass) عندما يستهدف مخطط جسم الطلب قيمة بدائية على المستوى الجذري. عندما يتحقق المخطط من قيمة بدائية على المستوى الأعلى مثل عدد صحيح، يمكن لـ Ajv تحويل سلسلة JSON إلى النوع المتوقع أثناء التحقق، لكن Fastify لا يستبدل جسم الطلب الجذري بالقيمة المحوّلة، لذلك يتلقى معالج المسار السلسلة الأصلية غير المُتحقق منها. نتيجة لذلك، يمكن لطلب كان يجب أن يفشل في التحقق أن يصل إلى منطق التطبيق بقيمة لا تتوافق مع المخطط، مما قد يقوّض فحوصات السلامة والتحكم في الوصول التي تعتمد على النوع المُتحقق منه. يجب على المستخدمين الترقية إلى fastify 5.12.1، الذي يصلح هذا التناقض. لا تتوفر حلول بديلة معروفة.

• CVE-2026-18504-CVE-2026-16732PoC

  مستودع تعليمي لتوثيق واختبار استغلالات إثبات المفهوم لثغرات CVE داخل مختبرات معزولة، وآلات افتراضية، وبيئات اختبار اختراق مصرح بها.