CVE-2026-120215

Nome do Software Vulnerável e Versões Afetadas @fastify/cors versões 8.2.0 até 11.3.x

Descrição Uma aplicação que utiliza o plugin CORS para o framework web Fastify pode travar durante uma requisição de preflight CORS se o plugin for registrado com a opção de hook onSend não padrão. Quando uma requisição OPTIONS contendo os cabeçalhos Origin e Access-Control-Request-Method é recebida, o plugin chama reply.send() de dentro do hook onSend, fazendo com que os cabeçalhos de resposta sejam gravados duas vezes. Isso resulta em um erro ERR HTTP HEADERS SENT não capturado que pode encerrar o processo Node.js caso não haja um manipulador de nível de processo instalado. Um cliente remoto não autenticado pode disparar esse estado com uma única requisição de preflight, impactando a disponibilidade do sistema.

Recomendações Atualize o @fastify/cors para a versão 11.4.0 ou posterior. Como solução temporária, utilize outro hook, como o onRequest padrão, ou defina a opção preflight como false.