Npm · @Fastify/Oauth2 · CVE-2026-110008
**Nome do Software Vulnerável e Versões Afetadas**
@fastify/oauth2 versões 7.2.0 through 8.3.1
**Description**
Em rotas de login com dois ou mais segmentos de caminho, os cookies de state e code-verifier são definidos sem o atributo Path. Como a etapa de limpeza no callback do OAuth utiliza um caminho raiz, os cookies originais não são removidos. Isso permite que um valor de state obtido por um invasor permaneça válido durante a sessão do navegador, possibilitando um ataque de login CSRF (Cross-Site Request Forgery), no qual o invasor pode conduzir o fluxo de autorização no navegador da vítima para conectá-la à conta do invasor.
**Recommendations**
Atualize o @fastify/oauth2 para a versão 8.3.2 ou posterior.
Como solução temporária, defina um caminho de cookie explícito para garantir que as operações de definição e limpeza afetem o mesmo cookie.