CVE-2026-16732

Zusammenfassung

fastify ist ein schnelles Web-Framework mit geringem Overhead für Node.js. Auswirkung: Der Fix für CVE-2026-3635 fügte eine Absicherung bei den Lesevorgängen der weitergeleiteten Header hinzu, die zur Ableitung der Werte für Request-Host, Protokoll, Hostname, IP und IPs verwendet werden, und prüft dabei die verbindende Adresse. Diese Absicherung schließt die IP-, CIDR- und Custom-Function-Formen von trustProxy korrekt ab, da diese Formen zu Prädikaten kompiliert werden, die die verbindende Adresse untersuchen. Die Hop-Count-Form, bei der trustProxy auf eine Zahl gesetzt ist, kompiliert zu einem Prädikat, das die Adresse strukturell ignoriert, sodass die Absicherung für jede Hop-Anzahl von eins oder mehr immer erfüllt ist. Anwendungen, die mit einem numerischen trustProxy-Wert konfiguriert sind, etwa trustProxy auf 1 für einen einzelnen Reverse-Proxy gesetzt, bleiben verwundbar: Ein Angreifer, der das Fastify-Origin direkt erreichen kann und dabei den vorgelagerten Proxy umgeht, kann die weitergeleiteten Request-Felder genau wie in der ungepatchten Version fälschen. Die Auswirkungsklasse entspricht der des übergeordneten CVE-2026-3635, einschließlich Host-Injection in generierten URLs, Umgehung der HTTPS-Erzwingung, Umgehung von Secure-Cookie- und CSRF-Origin-Prüfungen sowie hostbasiertem Routing und Cache-Poisoning. Betroffene Versionen sind fastify von 5.8.3 bis einschließlich, aber nicht einschließlich 5.12.1. Patches: In fastify 5.12.1 gepatcht, wo die numerische Form von trustProxy zur Laufzeit deaktiviert und aus der TypeScript-Typunion entfernt wurde. Workarounds: Migrieren Sie zu einem IP-, CIDR- oder Custom-Function-trustProxy-Wert, der die verbindende Adresse validiert, und stellen Sie sicher, dass das Fastify-Origin nur über die vertrauenswürdige Proxy-Kette erreichbar ist.

Quellen

• CVE-2026-18504-CVE-2026-16732PoC

  Bildungs-Repository zur Dokumentation und zum Testen von CVE-Proof-of-Concept-Exploits in isolierten Laboren, virtuellen Maschinen und autorisierten Penetrationstest-Umgebungen.