CVE-2026-18504

Riepilogo

fastify è un framework web veloce e a basso overhead per Node.js. Le versioni di fastify precedenti alla 5.12.1 sono affette da un bypass della validazione dello schema quando uno schema del corpo della richiesta ha come target un valore primitivo di root. Quando lo schema valida un primitivo di livello superiore come un intero, Ajv può convertire una stringa JSON nel tipo previsto durante la validazione, ma Fastify non sostituisce il corpo della richiesta di root con il valore convertito, quindi il gestore della route riceve la stringa originale non validata. Di conseguenza, una richiesta che avrebbe dovuto fallire la validazione può raggiungere la logica dell'applicazione con un valore che non soddisfa lo schema, il che può compromettere i controlli di integrità e di controllo degli accessi che si basano sul tipo validato. Gli utenti dovrebbero aggiornare a fastify 5.12.1, che corregge la discrepanza. Non sono disponibili soluzioni alternative note.

• CVE-2026-18504-CVE-2026-16732PoC

  Repository educativo per documentare e testare exploit proof-of-concept di CVE all'interno di laboratori isolati, macchine virtuali e ambienti di penetration test autorizzati.