CVE-2026-16732

إصدارات fastify من 5.8.3 إلى 5.12.0

توجد مشكلة في معالجة عمليات قراءة الرؤوس المُعادة التوجيه (forwarded-header) المستخدمة لاستخلاص قيم المضيف والبروتوكول واسم المضيف وعنوان IP وعناوين IP الخاصة بالطلب. عندما يتم تكوين الإعداد trustProxy بقيمة رقمية لعدد القفزات (hop-count)، يفشل النظام في التحقق من صحة عنوان الاتصال بشكل صحيح. وهذا يسمح للمهاجم الذي يمكنه الوصول إلى المصدر مباشرةً، متجاوزًا الوكيل الأمامي، بتزوير حقول الطلبات المعاد توجيهها. وقد يؤدي ذلك إلى حقن المضيف في عناوين URL التي يتم إنشاؤها، وتجاوز فرض بروتوكول HTTPS، وتجاوز أمان ملفات تعريف الارتباط ومصدر CSRF، بالإضافة إلى التوجيه المستند إلى المضيف وتسميم ذاكرة التخزين المؤقت.

قم بالتحديث إلى الإصدار 5.12.1.

قم بالترحيل إلى قيمة trustProxy من نوع IP أو CIDR أو وظيفة مخصصة تقوم بالتحقق من صحة عنوان الاتصال.

تأكد من أن الوصول إلى المصدر لا يتم إلا من خلال سلسلة الوكلاء الموثوق بها.