CVE-2026-92395
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
@fastify/proxy-addr to wtyczka Fastify, która określa adres klienta żądania za zaufanymi odwrotnymi serwerami proxy i obsługuje Fastify request.ip i request.ips. W wersjach od 3.0.0 do 5.1.0 podsieć zaufania zapisana w notacji IPv6 odwzorowanej na IPv4 z prefiksem wielkości IPv4, takim jak ::ffff:10.0.0.0/8 zamiast prawidłowego ::ffff:10.0.0.0/104, jest akceptowana bez błędów, ale ufa każdemu adresowi IPv4 w Internecie, a nie blokowi, którego nazwę. Ponieważ element równorzędny gniazda staje się wówczas zaufany w przeskoku 0, każdy nieuwierzytelniony klient może dostarczyć dowolny nagłówek X-Forwarded-For i kontrolować adres odczytywany przez aplikację, co eliminuje kontrolę dostępu opartą na protokole IP, ograniczanie szybkości, geolokalizację i rejestrowanie audytu. Wtyczka odziedziczyła tę wadę po zewnętrznym module proxy-addr (CVE-2026-90711). Problem został rozwiązany w @fastify/proxy-addr 5.1.1 i użytkownicy powinni dokonać aktualizacji do wersji 5.1.1 lub nowszej. W ramach obejścia upewnij się, że każda podsieć zaufania IPv6 mapowana na protokół IPv4 używa prefiksu o długości co najmniej 97 lub wyraża zakres w zwykłej notacji IPv4.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org