CVE-2026-107318

Nome do Software Vulnerável e Versões Afetadas @fastify/reply-from versões anteriores a 12.7.0

Descrição Transportes HTTPS integrados neste plugin do Fastify substituem o padrão seguro ao definir rejectUnauthorized como false. Isso impede que o proxy verifique o certificado TLS do servidor upstream, mesmo quando configurado para HTTPS. Um invasor de rede on-path pode personificar o upstream HTTPS configurado para ler credenciais e corpos de requisição encaminhados, ou retornar respostas forjadas que a aplicação confia.

Recomendações Atualize para a versão 12.7.0 ou posterior. Como solução temporária, passe explicitamente rejectUnauthorized como true no transporte, forneça uma instância do undici já configurada ou use o agente global do undici.