CVE-2026-92087

@fastify/auth to wtyczka Fastify, która łączy wiele strategii uwierzytelniania i autoryzacji w jednym strażniku trasy. W wersjach od 5.0.0 do 5.1.0, gdy strategie składają się z opcji relacji „lub” wraz z opcją uruchamiania „wszystko”, a jeden wpis jest zagnieżdżoną tablicą działającą jako grupa AND, grupa jest oceniana w sposób zależny od kolejności: wcześniejsza kontrola, która zakończyła się niepowodzeniem, jest dyskretnie odrzucana, a wynik grupy staje się wynikiem jej ostatniej kontroli. W rezultacie żądanie, które spełnia tylko ostatni element grupy AND, na przykład atakujący, który posiada prawidłowy klucz API, ale nie jest administratorem, zostaje autoryzowane, a nie odrzucane, a powiązane obejście zależne od zamówienia wpływa na konfigurację lustrzaną, w której relacją najwyższego poziomu jest „i”, a grupa zagnieżdżona używa „lub”. Problem został rozwiązany w @fastify/auth 5.1.1 i użytkownicy powinni dokonać aktualizacji do wersji 5.1.1 lub nowszej. Aby obejść ten problem, pomiń opcję uruchamiania „wszystko”, jeśli nie jest ona wymagana, uporządkuj każdą grupę AND tak, aby jej bardziej rygorystyczna kontrola była oceniana jako ostatnia, lub zamień zagnieżdżone grupy AND jawną kompozycją „i” najwyższego poziomu.