Npm · @Fastify/Oauth2 · CVE-2026-110008
**اسم البرنامج المصاب والإصدارات المتأثرة**
@fastify/oauth2 الإصدارات 7.2.0 through 8.3.1
**Description**
في مسارات تسجيل الدخول التي تحتوي على جزأين أو أكثر من مسارات العناوين، يتم تعيين ملفات تعريف الارتباط state و code-verifier بدون سمة Path. وبما أن خطوة المسح في استدعاء OAuth تستخدم مسار الجذر، فإن ملفات تعريف الارتباط الأصلية تظل موجودة. يسمح هذا لقيمة state التي يحصل عليها المهاجم بالبقاء صالحة طوال جلسة المتصفح، مما يمكن المهاجم من تنفيذ هجوم login CSRF (تزوير الطلبات عبر المواقع)، حيث يمكن للمهاجم توجيه تدفق التفويض في متصفح الضحية لتسجيل دخول الضحية إلى حساب المهاجم.
**Recommendations**
تحديث @fastify/oauth2 إلى الإصدار 8.3.2 أو أحدث.
كإجراء مؤقت، قم بتعيين مسار ملف تعريف ارتباط صريح لضمان أن عمليتي التعيين والمسح تستهدفان نفس ملف تعريف الارتباط.