CVE-2026-3635
Açıklama
Özet trustProxy kısıtlayıcı bir güven fonksiyonuyla (örneğin, trustProxy: '10.0.0.1' gibi belirli bir IP, bir alt ağ, bir sıçrama sayısı veya özel bir fonksiyon) yapılandırıldığında; request.protocol ve request.host getter'ları, güvenilmeyen IP'lerden gelen bağlantılar da dahil olmak üzere tüm bağlantılardan X-Forwarded-Proto ve X-Forwarded-Host başlıklarını okur. Bu durum, doğrudan Fastify'a bağlanan (proxy'yi atlayan) bir saldırganın, uygulama tarafından görülen hem protokolü hem de ana bilgisayarı (host) taklit etmesine olanak tanır. Etkilenen Versiyonlar fastify <= 5.8.2 Etki Güvenlik kararları (HTTPS zorunluluğu, güvenli çerez bayrakları, CSRF kaynak kontrolleri, URL oluşturma, ana bilgisayar tabanlı yönlendirme) için request.protocol veya request.host kullanan uygulamalar, trustProxy kısıtlayıcı bir güven fonksiyonu ile yapılandırıldığında etkilenir. trustProxy: true (her şeye güven) olduğunda, hem host hem de protocol tüm iletilen başlıklara güvenir; bu beklenen bir davranıştır. Güvenlik açığı yalnızca kısıtlayıcı güven yapılandırmalarında ortaya çıkar.
Nasıl düzeltilir
- fastify fastify5.8.3 ya da sonraki bir sürüm
- fastify5.8.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fastify fastify | v < 5.8.3 | 5.8.3 |
| fastifynpm | v < 5.8.3 | 5.8.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.