JVNDB-2026-033796

fastifyにおける入力確認に関する脆弱性

fastifyのバージョン5.12.2未満では、リクエストスキーマのコンパイルをJavaScriptのトゥルーシー性に基づいて判断しますが、JSON Schema Draft 7では論理値のfalseをすべてのインスタンスを拒否する有効なスキーマとして定義しています。アプリケーションがルートのbody、querystring、params、またはheadersスキーマにfalseを割り当ててすべての入力を拒否しようとすると、fastifyはそれをスキーマが存在しないものとして扱い、バリデータをコンパイルせず、あらゆるリクエストでルートハンドラーを実行します。これにより認証されていないリモートクライアントが、本来到達不可能にすべき拒否スキーマのハンドラーにアクセスできてしまい、完全なバリデーションバイパスが発生して、不正な状態変更や無効化された操作を実行する可能性があります。ユーザーはfastifyを5.12.2以降にアップグレードするべきです。

fastify

• fastify 5.12.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fastify vulnerable to request validation bypass via skipped boolean false schemas  Advisory  fastify/fastify  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-84469

1. National Vulnerability Database (NVD) : CVE-2026-84469

• [2026年09月16日]
    掲載