JVNDB-2026-027133

fastifyのfastify/reply-fromにおけるフィルタリングの回避に関する脆弱性

影響：@fastify/reply-from バージョン 8.3.1 から 12.6.4（12.6.4 は含まない）までは、内部のURLキャッシュキーを宛先パスとソースパスを区切り文字なしで連結して生成しています。そのため、異なる宛先とソースの組み合わせが同じキーを生成し、異なる上流URLに解決されることがあります。getUpstream がリクエストデータから上流を選択する際に、ある上流用にキャッシュされたURLが別の上流用のリクエストに再利用される可能性があり、これによって異なる上流間でのデータアクセスや変更が発生する恐れがあります。デフォルトの設定が影響を受けます。disableCache を true に設定することで、この挙動を防止できます。修正方法：@fastify/reply-from を 12.6.4 にアップグレードしてください。回避策：プラグイン登録時に disableCache: true を指定してください。

fastify

• fastify/reply-from 8.3.1 以上 12.6.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/reply-from vulnerable to cross-upstream request routing via URL cache key collision  Advisory  fastify/fastify-reply-from  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. フィルタリング回避(CWE-441) [その他]

1. CVE-2026-16158

1. National Vulnerability Database (NVD) : CVE-2026-16158

• [2026年08月06日]
    掲載