CVE-2026-84428

5.12.2 öncesindeki fastify sürümleri, HTTP başlık adlarının büyük/küçük harf duyarsız yapısını, bir rotanın header şemasını derlemeden önce isimleri küçük harfe çevirerek uygular; ancak bu dönüşüm eksiktir: özellik anahtarlarını ve kök düzeydeki required dizisini küçük harfe çevirirken, JSON Schema Draft 7 dependencies anahtarı içindeki trigger ve dependent isimlerini küçük harfe çevirmez. Node istek başlık adlarını küçük harfle sakladığı için, ayrıcalıklı mod başlığı mevcut olduğunda bir kimlik doğrulama başlığının gerekli olması gibi standart büyük/küçük harf düzenine sahip bir bağımlılık hiçbir zaman eşleşmez ve varlık doğrulaması sessizce atlanır. Bu nedenle, kimliği doğrulanmamış uzak bir istemci, bağımlılığın gerektirmesi amaçlanan başlığı hariç tutarak ayrıcalıklı bir dalı etkinleştiren başlığı gönderebilir ve böylece koşullu kontrolü atlayabilir. Kullanıcıların fastify 5.12.2 veya daha yeni bir sürüme yükseltmesi önerilir.