CVE-2026-16732

fastify, Node.js için hızlı ve düşük genel giderli bir web çerçevesidir. Etki: CVE-2026-3635 için getirilen düzeltme; istek host, protocol, hostname, ip ve ips değerlerini türetmek için kullanılan forwarded-header okumalarına, bağlanan adresi kontrol eden bir koruma eklemiştir. Bu koruma; IP, CIDR ve özel fonksiyon biçimindeki trustProxy yapılandırmalarını doğru şekilde kapatır çünkü bu biçimler, bağlanan adresi inceleyen yüklemlere derlenir. trustProxy'nin bir sayıya ayarlandığı hop-count biçimi ise adresi yapısal olarak görmezden gelen bir yükleme derlendiğinden, bir veya daha fazla olan herhangi bir hop sayısı için koruma her zaman karşılanmış sayılır. Tek bir ters proxy için trustProxy'nin 1 olarak ayarlanması gibi sayısal bir trustProxy değeriyle yapılandırılan uygulamalar savunmasız kalmaya devam eder: ön yüzdeki proxy'yi atlayarak doğrudan Fastify kaynağına erişebilen bir saldırgan, yamalanmamış versiyonda olduğu gibi iletilen istek alanlarını taklit edebilir. Etki sınıfı; oluşturulan URL'lerde host injection, HTTPS zorunluluğunun atlatılması, secure-cookie ve CSRF-origin atlatılması ile host tabanlı yönlendirme ve önbellek zehirlemesi dahil olmak üzere üst CVE-2026-3635 ile eşleşmektedir. Etkilenen sürümler, fastify 5.8.3'ten 5.12.1'e kadar olan ancak 5.12.1'i içermeyen sürümlerdir. Yamalar: trustProxy'nin sayısal biçiminin çalışma zamanında devre dışı bırakıldığı ve TypeScript tip birleşiminden kaldırıldığı fastify 5.12.1 sürümünde yamalanmıştır. Geçici çözümler: Bağlanan adresi doğrulayan bir IP, CIDR veya özel fonksiyon trustProxy değerine geçiş yapın ve Fastify kaynağının yalnızca güvenilir proxy zinciri üzerinden erişilebilir olduğundan emin olun.