Schecthellraiser606

Um invasor não autenticado pode ignorar hooks de autenticação e quebrar o encapsulamento de prefixo ao enviar uma URL malformada. O roteador interno de not-found para manipuladores encapsulados despacha caminhos malformados através de um ponteiro de manipulador compartilhado único antes da decodificação da URL, o que ignora o prefixo e pula o ciclo de vida normal do manipulador selecionado. Isso permite que uma requisição enviada sob o prefixo de um plugin seja roteada para o manipulador customizado de not-found de um plugin irmão diferente, potencialmente permitindo que o invasor acesse um fallback privado protegido por autenticação e leia sua resposta completa.

O Fastify determina incorretamente se deve compilar um esquema de requisição com base na verdade lógica (truthiness) do JavaScript. De acordo com o JSON Schema Draft 7, um booleano `false` é um esquema válido que rejeita todas as instâncias. No entanto, quando `false` é atribuído ao esquema de `body`, `querystring`, `params` ou `headers` de uma rota para negar todas as entradas, o software o trata como um esquema ausente e não compila um validador. Isso permite que um cliente remoto não autenticado ignore a validação e acesse manipuladores (handlers) que deveriam estar inacessíveis, podendo levar a alterações de estado não autorizadas ou à execução de operações desativadas.

Existe um problema na forma como os nomes dos cabeçalhos HTTP são manipulados durante a compilação do esquema de cabeçalho de uma rota. O software tenta implementar a natureza insensível a maiúsculas e minúsculas dos cabeçalhos HTTP ao converter em letras minúsculas as chaves de propriedades e a matriz required de nível raiz, mas falha ao não converter em letras minúsculas os nomes de gatilho e dependentes dentro da palavra-chave dependencies do JSON Schema Draft 7. Como o Node.js armazena os nomes dos cabeçalhos de requisição em letras minúsculas, as dependências que utilizam nomes em formato canônico nunca coincidem, fazendo com que as asserções de presença sejam silenciosamente ignoradas. Isso permite que um cliente remoto não autenticado envie um cabeçalho que ative um ramo privilegiado enquanto omite um cabeçalho obrigatório, ignorando assim as verificações condicionais.