JVNDB-2026-033797

fastifyにおける大文字と小文字の区別の不適切な処理に関する脆弱性

fastifyのバージョン5.12.2より前では、HTTPヘッダー名の大文字・小文字を区別しない性質を、ルートのヘッダースキーマの名前をコンパイル前に小文字化することで実装していましたが、この変換は不完全でした。具体的には、プロパティのキーおよびルートレベルのrequired配列を小文字化しますが、JSON Schema Draft 7のdependenciesキーワード内のtriggerおよびdependentの名前は小文字化しません。Nodeはリクエストヘッダー名をすべて小文字で保持するため、特権モードのヘッダーが存在する場合に認証ヘッダーを要求するような、大文字・小文字を正確に区別する依存関係は決して一致せず、存在の検証が静かにスキップされます。そのため、認証されていないリモートクライアントが条件付きチェックを回避しつつ、特権的な処理を有効にするヘッダーを送信し、依存関係で要求されていたヘッダーを省略することが可能となります。ユーザーはfastifyを5.12.2以降にアップグレードすべきです。

fastify

• fastify 5.12.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fastify vulnerable to header validation bypass via incomplete schema case normalization  Advisory  fastify/fastify  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 大文字と小文字の区別の不適切な処理(CWE-178) [その他]

1. CVE-2026-84428

1. National Vulnerability Database (NVD) : CVE-2026-84428

• [2026年09月16日]
    掲載