阿里先知·· 12 天前推荐指数18
CVE-2026-76169:Fastify 畸形 URL 绕过封装 404 处理器认证
一个从未"到达"的请求:CVE-2026-76169,Fastify 畸形 URL 绕过封装 404 处理器认证
AI 导读
Fastify 在 >= 4.0.0, < 5.12.2 版本中存在 CVE-2026-76169(GHSA-p68q-wchp-6fh7):内部 404 路由器处理畸形 URL 时,通过跨插件共享的 handler 指针直接调用"最后注册"的封装 404 处理器,插件前缀被完全忽略,该处理器声明的 preHandler 等生命周期钩子也一并失效。
来源:阿里先知 · xz.aliyun.com