JVNDB-2026-033858

fastifyにおける代替パスまたはチャネルを使用した認証回避に関する脆弱性

fastify のバージョン 4.0.0 以上 5.12.2 未満では、あるプラグインのプレフィックスの下で送信された不正な形式の URL を、異なる兄弟プラグインのカスタム not-found ハンドラーにルーティングし、そのハンドラーに宣言された preHandler フックを経ずに呼び出すことが可能です。カプセル化されたハンドラー用の内部 not-found ルーターは、URL デコードの前に不正なパスを単一の共有ハンドラーポインターを経由してディスパッチし、プレフィックスを無視して選択されたハンドラーの通常のライフサイクルをスキップします。したがって、認証されていない攻撃者は、無関係な公開プレフィックスを通じて認証保護されたプライベートなフォールバックに到達でき、その完全なレスポンスを読み取ることができ、認証フックを回避してプレフィックスのカプセル化を破壊する可能性があります。ユーザーは fastify 5.12.2 以降にアップグレードすべきです。

fastify

• fastify 4.0.0 以上 5.12.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fastify vulnerable to authentication bypass via malformed URLs reaching encapsulated not-found handlers  Advisory  fastify/fastify  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 代替パスまたはチャネルを使用した認証回避(CWE-288) [その他]

1. CVE-2026-76169

1. National Vulnerability Database (NVD) : CVE-2026-76169

• [2026年09月16日]
    掲載