CVE-2026-16732

Riepilogo

fastify è un framework web veloce e a basso overhead per Node.js. Impatto: la correzione per CVE-2026-3635 ha aggiunto un controllo sulle letture degli header forwarded utilizzati per derivare i valori di host, protocol, hostname, ip e ips della richiesta, verificando l'indirizzo di connessione. Tale controllo chiude correttamente le forme IP, CIDR e funzione personalizzata di trustProxy, poiché tali forme compilano in predicati che ispezionano l'indirizzo di connessione. La forma hop-count, in cui trustProxy è impostato su un numero, compila in un predicato che ignora strutturalmente l'indirizzo, quindi il controllo è sempre soddisfatto per qualsiasi hop count pari o superiore a uno. Le applicazioni configurate con un valore numerico di trustProxy, come trustProxy impostato su 1 per un singolo reverse proxy, rimangono vulnerabili: un attaccante che può raggiungere direttamente l'origine Fastify, bypassando il proxy frontale, può falsificare i campi della richiesta forwarded esattamente come nella versione non corretta. La classe di impatto corrisponde alla CVE-2026-3635 padre, inclusa l'iniezione di host negli URL generati, il bypass dell'applicazione forzata di HTTPS, il bypass di secure-cookie e dell'origine CSRF, nonché il routing basato su host e l'avvelenamento della cache. Le versioni interessate sono fastify dalla 5.8.3 fino alla 5.12.1 esclusa. Patch: corretto in fastify 5.12.1, dove la forma numerica di trustProxy è disabilitata a runtime e rimossa dall'unione dei tipi TypeScript. Soluzioni alternative: migrare a un valore trustProxy di tipo IP, CIDR o funzione personalizzata che validi l'indirizzo di connessione e assicurarsi che l'origine Fastify sia raggiungibile solo tramite la catena di proxy affidabili.

Fonti

• CVE-2026-18504-CVE-2026-16732PoC

  Repository educativo per documentare e testare exploit proof-of-concept di CVE all'interno di laboratori isolati, macchine virtuali e ambienti di penetration test autorizzati.