CVE-2026-18504

概要

fastifyは、Node.js向けの高速でオーバーヘッドの低いWebフレームワークです。5.12.1より前のバージョンのfastifyは、リクエストボディスキーマがルートのプリミティブ値を対象とする場合に、スキーマ検証のバイパスが発生する影響を受けます。スキーマが整数などのトップレベルのプリミティブを検証するとき、Ajvは検証中にJSON文字列を期待される型に強制変換できますが、Fastifyはルートのリクエストボディを強制変換された値に置き換えないため、ルートハンドラーは検証されていない元の文字列を受け取ります。その結果、検証に失敗するはずのリクエストが、スキーマを満たさない値でアプリケーションロジックに到達する可能性があり、検証された型に依存する整合性チェックやアクセス制御チェックを損なう恐れがあります。ユーザーは、この不一致を修正したfastify 5.12.1にアップグレードする必要があります。既知の回避策はありません。

• CVE-2026-18504-CVE-2026-16732PoC

  CVEの概念実証エクスプロイトを隔離されたラボ、仮想マシン、および認可されたペネトレーションテスト環境内で文書化・テストするための教育用リポジトリです。