JVNDB-2026-017963

fastifyのfastify/http-proxy等の複数製品におけるHTTP ヘッダのスクリプト構文の不適切な無効化に関する脆弱性

@fastify/reply-from v12.6.1以前および@fastify/http-proxy v11.4.3以前では、proxyがrewriteRequestHeadersを介して自身のヘッダーを追加した後にクライアントのConnectionヘッダーを処理します。これにより、攻撃者はConnectionヘッダーの値を記載することで、proxyが上流リクエストに追加したヘッダーを遡って削除できるようになります。proxyがルーティング、アクセス制御、またはセキュリティ目的で追加する任意のヘッダーはクライアントによって選択的に削除されてしまう可能性があります。@fastify/http-proxyも@fastify/reply-fromに委譲しているため、これらの影響を受けます。@fastify/reply-from v12.6.2または@fastify/http-proxy v11.4.4以降へのアップグレードを推奨します。

fastify

• fastify/http-proxy 11.4.4 未満
• reply-from 12.6.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Connection header abuse enables stripping of proxy-added headers  Advisory  fastify/fastify-reply-from  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. HTTP ヘッダのスクリプト構文の不適切な無効化(CWE-644) [その他]

1. CVE-2026-33805

1. National Vulnerability Database (NVD) : CVE-2026-33805

• [2026年06月04日]
    掲載