CVE-2026-3635

إصدارات fastify الأقدم من 5.8.3

عندما يتم تكوين trustProxy بوظيفة ثقة تقييدية، مثل عنوان IP محدد أو شبكة فرعية أو عدد قفزات أو وظيفة مخصصة، فإن دالات الاسترجاع request.protocol وrequest.host تقرأان رؤوس X-Forwarded-Proto وX-Forwarded-Host من أي اتصال، بما في ذلك تلك الواردة من عناوين IP غير موثوق بها. وهذا يسمح للمهاجم الذي يتصل مباشرةً بـ Fastify بتجاوز الوكيل (البروكسي) وتزوير البروتوكول والمضيف اللذين يراهما التطبيق. تؤثر هذه المشكلة على التطبيقات التي تعتمد على request.protocol أو request.host لاتخاذ قرارات حاسمة من الناحية الأمنية، بما في ذلك فرض استخدام HTTPS، وعلامات ملفات تعريف الارتباط الآمنة، وفحوصات منشأ CSRF، وبناء عناوين URL، والتوجيه القائم على المضيف.

قم بتحديث Fastify إلى الإصدار 5.8.3 أو أحدث.