CVE-2026-16732

Резюме

fastify — это быстрый и низконагруженный веб-фреймворк для Node.js. Воздействие: исправление для CVE-2026-3635 добавило защиту при чтении forwarded-заголовков, используемых для получения host, protocol, hostname, ip и ips запроса, проверяя адрес подключения. Эта защита корректно закрывает формы trustProxy в виде IP, CIDR и пользовательской функции, поскольку эти формы компилируются в предикаты, проверяющие адрес подключения. Форма с количеством переходов (hop-count), когда trustProxy задан числом, компилируется в предикат, который структурно игнорирует адрес, поэтому защита всегда выполняется для любого количества переходов, равного одному или более. Приложения, настроенные с числовым значением trustProxy, например trustProxy, установленным в 1 для одного обратного прокси, остаются уязвимыми: злоумышленник, который может напрямую обратиться к Fastify-источнику, минуя фронтальный прокси, может подделать forwarded-поля запроса точно так же, как в незапатченной версии. Класс воздействия соответствует родительской CVE-2026-3635, включая внедрение host в генерируемые URL, обход принудительного HTTPS, обход secure-cookie и CSRF-origin, а также маршрутизацию на основе host и отравление кэша. Затронутые версии: fastify с 5.8.3 до 5.12.1 (не включая её). Патчи: исправлено в fastify 5.12.1, где числовая форма trustProxy отключена во время выполнения и удалена из объединения типов TypeScript. Обходные меры: перейдите на значение trustProxy в виде IP, CIDR или пользовательской функции, которое проверяет адрес подключения, и убедитесь, что Fastify-источник доступен только через доверенную цепочку прокси.

• CVE-2026-18504-CVE-2026-16732PoC

  Образовательный репозиторий для документирования и тестирования PoC-эксплойтов для CVE в изолированных лабораториях, виртуальных машинах и авторизованных средах тестирования на проникновение.