Climba03003

O Fastify determina incorretamente se deve compilar um esquema de requisição com base na verdade lógica (truthiness) do JavaScript. De acordo com o JSON Schema Draft 7, um booleano `false` é um esquema válido que rejeita todas as instâncias. No entanto, quando `false` é atribuído ao esquema de `body`, `querystring`, `params` ou `headers` de uma rota para negar todas as entradas, o software o trata como um esquema ausente e não compila um validador. Isso permite que um cliente remoto não autenticado ignore a validação e acesse manipuladores (handlers) que deveriam estar inacessíveis, podendo levar a alterações de estado não autorizadas ou à execução de operações desativadas.

Existe um problema onde o objeto resolvido por um validador assíncrono Ajv bem-sucedido é tratado como o protocolo de resultado de valor usado por compiladores de validadores personalizados. Se uma requisição que passa pelo seu esquema de rota contiver uma propriedade chamada `value` na raiz, o software substitui todo o corpo da requisição pelo valor dessa propriedade antes da execução do handler. Isso faz com que o handler receba um objeto diferente daquele que satisfez o esquema. Um chamador autenticado de baixo privilégio pode explorar isso para substituir o corpo validado por dados aninhados, potencialmente desencadeando operações não autorizadas, levando a alterações de estado não autorizadas e divulgação de dados.

Existe um problema no processamento das leituras de cabeçalhos encaminhados (forwarded-headers) usados para derivar os valores de host, protocolo, hostname, ip e ips da requisição. Quando a configuração `trustProxy` é definida com um valor numérico de contagem de saltos (hop-count), o sistema não valida adequadamente o endereço de conexão. Isso permite que um invasor que consiga acessar a origem diretamente, ignorando o proxy frontal, falsifique os campos de requisição encaminhados. Isso pode resultar em injeção de host em URLs geradas, bypass de imposição de HTTPS, bypass de cookies seguros e de origem CSRF, além de envenenamento de cache e roteamento baseado em host.

Existe um problema no analisador de multipart form-data onde a função `saveRequestFiles()` pode deixar arquivos temporários no disco se um cliente se desconectar enquanto o analisador avança entre partes multipart. Como a rejeição do iterador ocorre fora do caminho de limpeza por arquivo, arquivos concluídos anteriormente não são removidos. Um cliente não autenticado pode explorar esse comportamento para causar consumo linear e persistente de disco, resultando em negação de serviço.

Os buckets de limite de taxa são indexados usando a string de IP do cliente verbatim de `request.ip`. Um cliente com capacidade IPv6 pode burlar os limites de taxa rotacionando endereços dentro de uma ampla faixa de endereços (como /64) ou utilizando diferentes representações textuais do mesmo endereço. Isso permite que atacantes ignorem proteções em endpoints sensíveis, como autenticação, redefinição de senha, entrega de OTP ou chamadas de API onerosas, especialmente quando a aplicação está atrás de um proxy que encaminha IPv6 para a origem e a opção `trustProxy` está habilitada.

Os caminhos de destino WebSocket não são validados corretamente em relação ao prefixo de reescrita configurado. A função `WebSocketProxy.findUpstream()` resolve os destinos usando o construtor WHATWG URL, que colapsa segmentos de ponto. Isso permite que uma solicitação de upgrade manipulada com sequências de traversal de caminho escape do prefixo de reescrita e alcance endpoints upstream que não deveriam estar expostos pelo proxy. Este problema é explorável por meio de clientes WebSocket que não realizam normalização, como clientes HTTP brutos ou proxies downstream que encaminham o alvo da solicitação sem alterações, já que navegadores padrão e o pacote `ws` normalizam o caminho antes do envio.

As chaves de cache de URL internas são construídas concatenando os caminhos de destino e origem sem um delimitador. Isso permite que diferentes pares de destino e origem gerem chaves idênticas, apesar de resolverem para URLs de upstream diferentes. Consequentemente, quando a função `getUpstream()` seleciona um upstream a partir dos dados da requisição, uma URL em cache de um upstream pode ser reutilizada para uma requisição destinada a outro, resultando em acesso e modificação de dados entre upstreams. Atividades elevadas visando este problema foram observadas em cenários reais.

Existe um bypass de middleware quando a opção obsoleta `ignoreDuplicateSlashes` está habilitada. A lógica de correspondência de caminho do middleware não considera a normalização de barras duplicadas realizada pelo roteador, permitindo que requisições com barras iniciais duplicadas (ex: '//admin/secret') ignorem verificações de autenticação e autorização. Este problema afeta especificamente aplicações que utilizam o estilo de configuração de nível superior obsoleto `fastify({ ignoreDuplicateSlashes: true })` em vez da configuração `routerOptions`.

O middleware herdado não é registrado diretamente em instâncias do mecanismo de plugins filhos. Quando um middleware de autenticação é registrado em um escopo pai e plugins filhos são registrados com @fastify/middie, o escopo filho não herda o middleware do pai. Isso ocorre porque os caminhos do middleware são prefixados incorretamente ao serem propagados para escopos de plugins filhos; se um plugin filho for registrado com um prefixo que se sobrepõe ao caminho do middleware do escopo pai, o caminho é modificado e não corresponde às solicitações recebidas. Consequentemente, controles de segurança como autenticação, autorização e limitação de taxa são ignorados para todas as rotas definidas nos escopos de plugins filhos e netos afetados, permitindo que solicitações não autenticadas alcancem essas rotas.

Ocorre traversal de caminho quando a listagem de diretórios está habilitada através da opção `list`. A função `dirList.path()` resolve diretórios fora da raiz estática configurada usando `path.join()` sem uma verificação de contenção. Um atacante remoto não autenticado pode obter listagens de diretórios para diretórios arbitrários acessíveis ao processo Node.js, expondo nomes de diretórios e arquivos, embora o conteúdo dos arquivos não seja revelado.

Uma falha de lógica no pipeline de processamento de cabeçalhos do framework Fastify para Node.js permite que atacantes remotos não autenticados ignorem controles de segurança. O problema ocorre porque a função `rewriteRequestHeaders()` processa o cabeçalho `Connection` do cliente após o proxy ter adicionado seus próprios cabeçalhos. Isso permite que um invasor remova retroativamente cabeçalhos adicionados pelo proxy para fins de roteamento, controle de acesso ou segurança, listando-os no valor do cabeçalho `Connection`. Isso pode levar à modificação não autorizada de informações protegidas ou à evasão de mecanismos de identificação e autorização do proxy.

Existe um problema onde o software falha ao normalizar URLs antes de passá-las para o middleware do Express quando as opções de normalização do roteador Fastify estão habilitadas. Isso permite que um invasor não autenticado ignore o middleware de autenticação com escopo de caminho manipulando o caminho da URL. Especificamente, a evasão ocorre por meio de barras duplicadas quando `ignoreDuplicateSlashes` está habilitado, ou por meio de delimitadores de ponto e vírgula quando `useSemicolonDelimiter` está habilitado. Nesses cenários, o roteador Fastify normaliza a URL para corresponder à rota, mas a URL original não normalizada é passada para o middleware do Express, fazendo com que ele não corresponda e seja ignorado.

Um erro de manipulação de caminho na função `onRegister()` faz com que os caminhos do middleware sejam duplicados quando herdados por plugins filhos. Quando um plugin filho é registrado com um prefixo que corresponde a um caminho de middleware, o caminho é prefixado uma segunda vez, impedindo que ele corresponda às requisições recebidas. Isso resulta em um bypass completo dos controles de segurança do middleware Express, incluindo autenticação, autorização e limitação de taxa, para todas as rotas definidas nos escopos dos plugins filhos afetados.

Existe uma falha de bypass de autenticação e autorização devido à decodificação inconsistente de URL entre o roteador Fastify e o manipulador de arquivos estáticos. O roteador trata separadores de caminho codificados em percentual (`%2F`) como caracteres literais, enquanto o manipulador estático os decodifica antes da resolução do sistema de arquivos. Essa divergência permite que atacantes ignorem middlewares ou guardas baseados em rotas destinados a proteger caminhos específicos. Por exemplo, uma requisição para `/admin%2Fsecret.html` pode não corresponder a uma guarda para `/admin/*`, mas ainda assim será resolvida e servida como `/admin/secret.html` pelo manipulador estático.

Aplicações que utilizam `schema.body.content` para validação de corpo por tipo de conteúdo estão sujeitas a um bypass de validação. Ao prefixar um espaço ao cabeçalho Content-Type, o corpo ainda é analisado corretamente, mas a validação do esquema é totalmente ignorada.