CVE-2026-18248

@fastify/aws-lambda الإصدار 6.4.0

في التكوين الافتراضي، تقوم دالة الاسترجاع (getter) التي تملأ زخارف الطلب بقراءة رؤوس HTTP x-apigateway-event وx-apigateway-context التي يتحكم فيها العميل قبل اللجوء إلى رمز الطلب الداخلي الموثوق به. ونظرًا لأن هذه الرؤوس المحجوزة لا يتم إزالتها من الحدث الوارد، يمكن لمهاجم غير مصدق عليه تعيين هذه الرؤوس لتزوير حدث وكيل Lambda بالكامل، بما في ذلك سياق المصادقة. وهذا يسمح للمهاجم بتجاوز البيانات الأصلية، مما يؤدي إلى تجاوز كامل للمصادقة والتفويض وتصعيد الامتيازات للتطبيقات التي تعتمد على request.awsLambda.event أو request.awsLambda.context للتحكم في الهوية أو الوصول.

قم بالترقية إلى الإصدار 6.4.1 من @fastify/aws-lambda.