CVE-2026-92395

@fastify/proxy-addr, güvenilir ters vekil sunucuların arkasındaki bir isteğin istemci adresini belirleyen ve Fastify request.ip ile request.ips özelliklerini destekleyen bir Fastify eklentisidir. 3.0.0 ile 5.1.0 arasındaki sürümlerde, doğru olan ::ffff:10.0.0.0/104 yerine ::ffff:10.0.0.0/8 gibi IPv4 boyutunda bir önekle yazılmış IPv4-eşlenmiş IPv6 notasyonundaki bir güvenilir alt ağ, hata vermeden kabul edilir ancak belirtilen blok yerine internetteki tüm IPv4 adreslerine güvenir. Soket eşinin ardından 0. sıçramada güvenilir hale gelmesi nedeniyle, kimliği doğrulanmamış herhangi bir istemci rastgele bir X-Forwarded-For başlığı sağlayabilir ve uygulamanın okuduğu adresi kontrol edebilir; bu durum IP tabanlı erişim kontrolünü, hız sınırlamayı, coğrafi konum belirlemeyi ve denetim günlüğünü etkisiz kılar. Eklenti, bu kusuru üst akıştaki proxy-addr modülünden devralmıştır (CVE-2026-90711). Sorun @fastify/proxy-addr 5.1.1 sürümünde düzeltilmiştir ve kullanıcıların 5.1.1 veya daha yeni bir sürüme yükseltmeleri önerilir. Geçici bir çözüm olarak, IPv4-eşlenmiş IPv6 güvenilir alt ağlarının en az 97 uzunluğunda bir önek kullandığından emin olun veya aralığı yalın IPv4 notasyonuyla ifade edin.