CVE-2026-92087

@fastify/auth çox sayda autentifikasiya və avtorizasiya strategiyalarını tək bir marşrut mühafizəçisinə (route guard) birləşdirən Fastify plaginidir. 5.0.0-dan 5.1.0-a qədər olan versiyalarda, strategiyalar "or" əlaqəsi seçimi ilə yanaşı run "all" seçimi ilə birləşdirildikdə və girişlərdən biri AND qrupu kimi çıxış edən iç-içə massiv olduqda, qrup ardıcıllıqdan asılı şəkildə qiymətləndirilir: daha erkən uğursuz olan yoxlama səssizcə silinir və qrupun nəticəsi sonuncu yoxlamanın nəticəsi olur. Nəticə etibarilə, yalnız AND qrupunun sonuncu üzvünü təmin edən sorğu, məsələn, etibarlı API açarına malik olan lakin administrator olmayan hücumçu, rədd edilmək əvəzinə avtorizasiya edilir; həmçinin üst səviyyəli əlaqənin "and" olduğu və iç-içə qrupun "or" istifadə etdiyi güzgü konfiqurasiyasını oxşar ardıcıllıqdan asılı yan keçmə təsir edir. Problem @fastify/auth 5.1.1 versiyasında düzəldilib və istifadəçilər 5.1.1 və ya daha yeni versiyaya yüksəltmə etməlidirlər. Müvəqqəti həll yolu kimi, tələb olunmayan yerlərdə run "all" seçimini çıxarın, hər bir AND qrupunu daha ciddi yoxlaması sonda qiymətləndiriləcək şəkildə sıralayın və ya iç-içə AND qruplarını aşkar üst səviyyəli "and" kompozisiyası ilə əvəz edin.