CVE-2026-16732

fastify Node.js üçün sürətli və aşağı resurs tələb edən veb freymvorkdur. Təsir: CVE-2026-3635 üçün tətbiq edilən düzəliş, sorğu host, protocol, hostname, ip və ips dəyərlərini əldə etmək üçün istifadə olunan forwarded-header oxumalarına qoşulan ünvanı yoxlayan bir mühafizə mexanizmi əlavə etdi. Həmin mühafizə mexanizmi trustProxy-nin IP, CIDR və xüsusi funksiya formalarını düzgün şəkildə bağlayır, çünki bu formalar qoşulan ünvanı yoxlayan predikatlara kompilyasiya olunur. trustProxy rəqəm kimi təyin edildiyi hop-count forması isə ünvanı struktur olaraq görməzdən gələn bir predikata kompilyasiya olunur, buna görə də bir və ya daha çox olan hər hansı hop sayı üçün mühafizə həmişə təmin edilir. Rəqəmsal trustProxy dəyəri ilə konfiqurasiya edilmiş tətbiqlər (məsələn, tək bir reverse proxy üçün trustProxy 1 olaraq təyin edilibsə) həssas qalmaqdadır: ön proxy-ni yan keçərək birbaşa Fastify mənşəyinə çata bilən hücumçu, düzəliş edilməmiş versiyada olduğu kimi forwarded sorğu sahələrini saxtalaşdıra bilər. Təsir sinfi, generatsiya edilmiş URL-lərdə host injection, HTTPS-enforcement yan keçməsi, secure-cookie və CSRF-origin yan keçməsi, həmçinin host-əsaslı marşrutlaşdırma və keş zəhərlənməsi daxil olmaqla ana CVE-2026-3635 ilə üst-üstə düşür. Təsirə məruz qalan versiyalar fastify 5.8.3-dən başlayaraq 5.12.1 versiyasına qədərdir (5.12.1 daxil deyil). Düzəlişlər: fastify 5.12.1 versiyasında düzəldilmişdir; burada trustProxy-nin rəqəmsal forması iş vaxtında deaktiv edilib və TypeScript tip birləşməsindən çıxarılıb. Alternativ həllər: qoşulan ünvanı təsdiqləyən IP, CIDR və ya xüsusi funksiya trustProxy dəyərinə keçid edin və Fastify mənşəyinin yalnız etibarlı proxy zənciri vasitəsilə əlçatan olduğunu təmin edin.