CVE-2026-18248

@fastify/aws-lambda versiya 6.4.0 hər bir Fastify sorğusunu request.awsLambda.event və request.awsLambda.context ilə təmin edir; bu dəyərlərin tətbiqlər tərəfindən API Gateway avtorizator iddialarının oxunması kimi avtorizasiya qərarları üçün istifadə edildiyi sənədləşdirilib. Defolt konfiqurasiyada, bu dekorasiyanı dolduran getter, etibarlı daxili sorğu tokeninə keçməzdən əvvəl müştəri tərəfindən idarə olunan x-apigateway-event və x-apigateway-context HTTP başlıqlarını oxuyur və həmin rezerv edilmiş başlıqlar gələn hadisədən silinmir. Buna görə də, tək bir HTTP başlığını təyin edə bilən autentifikasiya olunmamış hücumçu, avtorizator konteksti də daxil olmaqla bütün Lambda proksi hadisəsini saxtalaşa və orijinalını əvəz edə bilər. Bu, şəxsiyyətin təsdiqi və ya girişə nəzarət üçün request.awsLambda.event-ə etibar edən hər hansı tətbiq üçün tam autentifikasiyadan və avtorizasiyadan yan keçməyə, həmçinin imtiyazların yüksəldilməsinə səbəb olur. Yalnız 6.4.0 versiyası təsirlidir. Düzəlişlər: @fastify/aws-lambda 6.4.1 versiyasına yüksəldin; bu versiya dekorasiyanı yalnız daxili çağırış tokeni vasitəsilə həll edir və sorğu emal edilməzdən əvvəl rezerv edilmiş başlıqları silir.