CVE-2026-18504

요약

fastify는 Node.js를 위한 빠르고 오버헤드가 낮은 웹 프레임워크입니다. 5.12.1 이전 버전의 fastify는 요청 본문 스키마가 루트 기본형 값을 대상으로 할 때 스키마 검증 우회의 영향을 받습니다. 스키마가 정수와 같은 최상위 기본형을 검증할 때, Ajv는 검증 중에 JSON 문자열을 예상 유형으로 강제 변환할 수 있지만, Fastify는 루트 요청 본문을 강제 변환된 값으로 대체하지 않으므로 라우트 핸들러는 검증되지 않은 원래 문자열을 수신합니다. 그 결과, 검증에 실패해야 하는 요청이 스키마를 충족하지 않는 값으로 애플리케이션 로직에 도달할 수 있으며, 이는 검증된 유형에 의존하는 무결성 및 접근 제어 검사를 훼손할 수 있습니다. 사용자는 이러한 불일치를 수정한 fastify 5.12.1로 업그레이드해야 합니다. 알려진 해결 방법은 없습니다.

• CVE-2026-18504-CVE-2026-16732PoC

  격리된 실습 환경, 가상 머신, 그리고 승인된 침투 테스트 환경 내에서 CVE 개념 증명 익스플로잇을 문서화하고 테스트하기 위한 교육용 저장소입니다.