CVE-2026-120215
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
@fastify/cors to wtyczka CORS do platformy internetowej Fastify. W wersjach od 8.2.0 do 11.3.x aplikacja rejestrująca wtyczkę z inną niż domyślną opcją przechwytywania onSend ulega awarii podczas wstępnej inspekcji CORS. W przypadku żądania OPTIONS, które zawiera nagłówki Origin i Access-Control-Request-Method, wtyczka wywołuje metodę Answer.send z wnętrza haka onSend i ponownie wchodzi do potoku wysyłania, więc drugi zapis nagłówków odpowiedzi generuje nieprzechwycony komunikat ERR_HTTP_HEADERS_SENT, który może zakończyć proces Node.js, jeśli nie jest zainstalowana żadna procedura obsługi na poziomie procesu. Nieuwierzytelniony klient zdalny może to wywołać za pomocą pojedynczego żądania inspekcji wstępnej, więc wpływ dotyczy tylko dostępności, a wykorzystanie wymaga innej niż domyślna konfiguracji onSend. Problem został rozwiązany w @fastify/cors 11.4.0, gdzie onSend nie jest już akceptowaną wartością haka, a rejestracja kończy się niepowodzeniem z wyraźnym błędem zamiast zawieszać się w momencie żądania, a użytkownicy powinni dokonać aktualizacji do wersji 11.4.0 lub nowszej. Jako obejście użyj dowolnego innego haka, takiego jak domyślny onRequest, lub ustaw inspekcję wstępną na false.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org