Eomm

Existe um problema onde o objeto resolvido por um validador assíncrono Ajv bem-sucedido é tratado como o protocolo de resultado de valor usado por compiladores de validadores personalizados. Se uma requisição que passa pelo seu esquema de rota contiver uma propriedade chamada `value` na raiz, o software substitui todo o corpo da requisição pelo valor dessa propriedade antes da execução do handler. Isso faz com que o handler receba um objeto diferente daquele que satisfez o esquema. Um chamador autenticado de baixo privilégio pode explorar isso para substituir o corpo validado por dados aninhados, potencialmente desencadeando operações não autorizadas, levando a alterações de estado não autorizadas e divulgação de dados.

O Fastify é um framework web rápido e de baixa sobrecarga para Node.js. Aplicações que especificam diferentes estratégias de validação para diferentes tipos de conteúdo podem contornar a validação ao fornecer um tipo de conteúdo ligeiramente alterado, como com variações em maiúsculas e minúsculas ou espaços em branco alterados antes do ponto e vírgula (;). Este problema afeta aplicações que utilizam um padrão de schema específico onde tipos de conteúdo individuais são definidos com seus próprios schemas. O patch inicial na versão 5.3.1 não resolveu completamente o problema, e uma correção completa foi lançada nas versões 5.3.2 e 4.29.1.