JVNDB-2026-031564

fastifyにおける入力確認に関する脆弱性

fastifyはNode.js向けの高速で低オーバーヘッドなウェブフレームワークです。fastifyのバージョン5.12.1以前には、リクエストボディのスキーマがルートのプリミティブ値を対象とする場合にスキーマ検証をバイパスされる脆弱性が存在していました。スキーマが整数などのトップレベルのプリミティブを検証する際、Ajvは検証中にJSON文字列を想定される型に強制変換できますが、Fastifyは変換された値でルートのリクエストボディを置き換えません。そのため、ルートハンドラには元の未検証の文字列が渡されます。その結果、検証に失敗すべきリクエストがスキーマを満たさない値でアプリケーションロジックに到達する可能性があり、検証された型に基づく整合性およびアクセス制御のチェックを損なう恐れがあります。ユーザーはこの不整合を修正したfastify 5.12.1にアップグレードすることを推奨します。既知の回避策はありません。

fastify

• fastify 5.12.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fastify vulnerable to schema validation bypass via root primitive coercion mismatch  Advisory  fastify/fastify  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-18504

1. National Vulnerability Database (NVD) : CVE-2026-18504

• [2026年09月03日]
    掲載