CVE-2026-18165

@fastify/oauth2, Fastify için bir OAuth 2.0 eklentisidir. 7.2.0 ile 8.3.0 arasındaki sürümlerde eklenti; OAuth durumunu ve PKCE kullanıldığında kod doğrulayıcıyı, geri çağırma sorgu parametresini ön eki olmayan tahmin edilebilir bir çerezle karşılaştırarak doğrular ve akışı başlatan tarayıcıya yönelik sunucu tarafında herhangi bir bağlama yapmaz. Aynı kaydedilebilir alan adı altındaki kardeş bir alt alan adı gibi uygulamanın ana bilgisayarı için çerez yazabilen herhangi bir taraf, eşleşen durum ve doğrulayıcı çerezleri yerleştirerek kurbanın tarayıcısında saldırgana ait bir OAuth akışını tamamlayabilir ve kurbanı sessizce saldırganın hesabına giriş yaptırabilir (login CSRF). Bu durum kurbanın kendi hesabını, kimlik bilgilerini veya belirteçlerini açığa çıkarmaz. Sorun, isteğe bağlı bir hostPrefixedCookies seçeneği ekleyen @fastify/oauth2 8.3.0 sürümünde düzeltilmiştir. Kullanıcıların 8.3.0 sürümüne yükseltip bu seçeneği etkinleştirmeleri veya durumu sunucu tarafındaki bir oturuma bağlamaları önerilir.