CVE-2026-16732

Nome do Software Vulnerável e Versões Afetadas fastify versões 5.8.3 até 5.12.0

Description Existe um problema no processamento das leituras de cabeçalhos encaminhados (forwarded-headers) usados para derivar os valores de host, protocolo, hostname, ip e ips da requisição. Quando a configuração trustProxy é definida com um valor numérico de contagem de saltos (hop-count), o sistema não valida adequadamente o endereço de conexão. Isso permite que um invasor que consiga acessar a origem diretamente, ignorando o proxy frontal, falsifique os campos de requisição encaminhados. Isso pode resultar em injeção de host em URLs geradas, bypass de imposição de HTTPS, bypass de cookies seguros e de origem CSRF, além de envenenamento de cache e roteamento baseado em host.

Recommendations Atualize para a versão 5.12.1. Migre para um valor de trustProxy do tipo IP, CIDR ou função personalizada que valide o endereço de conexão. Garanta que a origem seja acessível apenas através da cadeia de proxies confiáveis.