CVE-2026-92087

@fastify/auth, birden fazla kimlik doğrulama ve yetkilendirme stratejisini tek bir rota koruyucusunda birleştiren bir Fastify eklentisidir. 5.0.0 ile 5.1.1 arasındaki sürümlerde, stratejiler "or" ilişkisi seçeneğiyle birlikte run "all" seçeneği kullanılarak birleştirildiğinde ve girdilerden biri VE grubu olarak işlev gören iç içe geçmiş bir dizi olduğunda, grup sıraya bağımlı bir şekilde değerlendirilir: daha önce başarısız olan bir kontrol sessizce düşürülür ve grubun sonucu son kontrolün sonucuna dönüşür. Sonuç olarak, yalnızca bir VE grubunun son üyesini karşılayan bir istek (örneğin geçerli bir API anahtarına sahip olan ancak yönetici olmayan bir saldırgan), reddedilmek yerine yetkilendirilir; benzer şekilde, üst düzey ilişkinin "and" olduğu ve iç içe geçmiş bir grubun "or" kullandığı aynalanmış yapılandırmayı da sıraya bağımlı bir atlatma etkiler. Sorun @fastify/auth 5.1.1 sürümünde düzeltilmiştir ve kullanıcıların 5.1.1 veya daha yeni bir sürüme yükseltmesi önerilir. Geçici çözüm olarak, gerekli olmadığı durumlarda run "all" seçeneğini kaldırın, her VE grubunu daha katı kontrolü en son değerlendirilecek şekilde sıralayın veya iç içe geçmiş VE gruplarını açık bir üst düzey "and" bileşimiyle değiştirin.