CVE-2026-16732

总结

fastify 是一个快速且低开销的 Node.js 网页框架。影响：针对 CVE-2026-3635 的修复在用于获取请求主机、协议、主机名、ip 和 ips 值的转发头读取中添加了一个防护，用于检查连接地址。该防护能正确关闭 trustProxy 的 IP、CIDR 和自定义函数形式，因为这些形式会编译为检查连接地址的谓词。跳数形式（即 trustProxy 设置为数字）会编译为在结构上忽略地址的谓词，因此对于任何大于或等于 1 的跳数，该防护始终满足。配置了数字 trustProxy 值的应用程序（例如为单个反向代理将 trustProxy 设置为 1）仍然存在漏洞：能够绕过前端代理直接访问 Fastify 源站的攻击者，可以像未修补版本一样伪造转发请求字段。影响类别与父级 CVE-2026-3635 相同，包括生成 URL 中的主机注入、HTTPS 强制绕过、安全 Cookie 和 CSRF 来源绕过，以及基于主机的路由和缓存投毒。受影响版本为 fastify 5.8.3 至 5.12.1（不含 5.12.1）。补丁：已在 fastify 5.12.1 中修补，其中 trustProxy 的数字形式在运行时被禁用，并从 TypeScript 类型联合中移除。临时解决方案：迁移到可验证连接地址的 IP、CIDR 或自定义函数 trustProxy 值，并确保 Fastify 源站只能通过受信任的代理链访问。

• CVE-2026-18504-CVE-2026-16732PoC

  用于在隔离实验室、虚拟机及授权渗透测试环境中记录和测试 CVE 概念验证漏洞利用代码的教育性仓库。