Kaka

قامت الدالة `normalize()` بفك تشفير فواصل السلطة المشفرة بنسبة مئوية داخل مكون المضيف وإعادة إرسالها كفواصل خام أثناء التسلسل. وهذا يسمح بإعادة إرسال مضيف يجمع بين نطاق مسموح به وعلامة @ مشفرة ونطاق مختلف، بحيث تكون علامة @ فاصلًا خامًا لمعلومات المستخدم، مما يؤدي فعليًّا إلى تغيير سلطة عنوان URI إلى النطاق الثاني. يمكن توجيه التطبيقات التي تقوم بتطبيع عناوين URL غير الموثوق بها قبل إجراء فحوصات قائمة المضيفين المسموح بها، أو التحقق من صحة إعادة التوجيه، أو توجيه الطلبات الصادرة، إلى سلطة مختلفة عن تلك المحددة في المدخلات.

تقوم الدالتان `normalize()` و`equal()` بفك تشفير فواصل المسار المشفرة بنظام النسبة المئوية ومقاطع النقاط قبل إجراء عملية إزالة مقاطع النقاط. يؤدي ذلك إلى معاملة بيانات المسار المشفرة على أنها شرطات مائلة فعلية وإشارات إلى الدليل الأصلي، مما يسمح بدمج عناوين URI المختلفة في نفس المسار المعياري. ونتيجة لذلك، قد يتم تجاوز التطبيقات التي تستخدم هذه الدوال لفرض سياسات قائمة على المسار على عناوين URL التي يسيطر عليها المهاجمون، حيث يمكن أن يتحول المسار الذي يبدو محصوراً تحت بادئة مسموح بها إلى موقع مختلف بعد التعيير.

عندما يتم تكوين `trustProxy` بوظيفة ثقة تقييدية، مثل عنوان IP محدد أو شبكة فرعية أو عدد قفزات أو وظيفة مخصصة، فإن دالات الاسترجاع `request.protocol` و`request.host` تقرأان رؤوس `X-Forwarded-Proto` و`X-Forwarded-Host` من أي اتصال، بما في ذلك تلك الواردة من عناوين IP غير موثوق بها. وهذا يسمح للمهاجم الذي يتصل مباشرةً بـ Fastify بتجاوز الوكيل (البروكسي) وتزوير البروتوكول والمضيف اللذين يراهما التطبيق. تؤثر هذه المشكلة على التطبيقات التي تعتمد على `request.protocol` أو `request.host` لاتخاذ قرارات حاسمة من الناحية الأمنية، بما في ذلك فرض استخدام HTTPS، وعلامات ملفات تعريف الارتباط الآمنة، وفحوصات منشأ CSRF، وبناء عناوين URL، والتوجيه القائم على المضيف.