CVE-2026-120216

Nome do Software Vulnerável e Versões Afetadas fastify versões 5.8.0 through 5.12.7

Description Um problema de negação de serviço ocorre quando o servidor é configurado com um handlerTimeout diferente de zero e uma rota retorna uma resposta de streaming. Se o stream de uma requisição permanecer aberto além do tempo limite após o envio dos cabeçalhos, o servidor tenta enviar uma nova resposta de erro. Isso dispara uma exceção ERR HTTP HEADERS SENT não capturada, que encerra o processo Node.js e interrompe todas as outras requisições ativas. Um cliente remoto não autenticado pode acionar isso enviando uma única requisição para um endpoint de streaming afetado.

Recommendations Atualize o fastify para a versão 5.12.8 ou posterior. Defina handlerTimeout como 0 para desativar o caminho de tempo limite afetado como uma solução temporária.