CVE-2022-41919
Açıklama
Fastify, minimum ek yük ve eklenti mimarisine sahip bir web çerçevesidir. Saldırgan, `fetch`'in `Pre-Flight` kontrolünü atlatmak için hatalı `Content-Type` kullanabilir. İçeriği "application/x-www-form-urlencoded", "multipart/form-data" veya "text/plain" olan `fetch()` istekleri, potansiyel olarak yalnızca `application/json` içerik türünü kabul eden rotaları çağırmak için kullanılabilir; böylece herhangi bir CORS koruması atlatılabilir ve bu durum bir Cross-Site Request Forgery saldırısına yol açabilir. Bu sorun 4.10.2 ve 3.29.4 sürümlerinde düzeltilmiştir. Geçici bir çözüm olarak, `@fastify/csrf` kullanarak Cross-Site Request Forgery koruması uygulayın.
Nasıl düzeltilir
- fastify fastify3.29.4, 4.10.2 ya da sonraki bir sürüm
- fastify4.10.2, 3.29.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fastify fastify | 3.0.0 ≤ v < 3.29.4, 4.0.0 ≤ v < 4.10.2 | 3.29.4, 4.10.2 |
| fastifynpm | 4.0.0 ≤ v < 4.10.2, 3.0.0 ≤ v < 3.29.4 | 4.10.2, 3.29.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.