CVE-2026-18504

总结

fastify 是一个快速且低开销的 Node.js 网页框架。fastify 5.12.1 之前的版本受到一个模式验证绕过漏洞的影响，当请求体模式针对根原始值时会发生该问题。当模式验证顶层原始值（如整数）时，Ajv 可以在验证过程中将 JSON 字符串强制转换为预期类型，但 Fastify 不会用强制转换后的值替换根请求体，因此路由处理器会收到原始的未验证字符串。结果，本应验证失败的请求可能以不符合模式的值到达应用程序逻辑，这可能会破坏依赖已验证类型的完整性和访问控制检查。用户应升级到 fastify 5.12.1，该版本修复了此不匹配问题。目前没有已知的变通方案。

• CVE-2026-18504-CVE-2026-16732PoC

  用于在隔离实验室、虚拟机及授权渗透测试环境中记录和测试 CVE 概念验证漏洞利用代码的教育性仓库。