Impact: @fastify/reply-from versions from 8.3.1 up to but no…(CVE-2026-16158・CVSS 8.7)

概要

Impact: @fastify/reply-from versions from 8.3.1 up to but not including 12.6.4 build the internal URL cache key by concatenating the destination and source path without a delimiter. Different destination and source pairs can therefore produce the same key while resolving to different upstream URLs....

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Impact: @fastify/reply-from versions from 8.3.1 up to but not including 12.6.4 build the internal URL cache key by concatenating the destination and source path without a delimiter. Different destination and source pairs can therefore produce the same key while resolving to different upstream URLs. When getUpstream selects an upstream from request data, a URL cached for one upstream can be reused for a request intended for another upstream, causing cross-upstream data access and modification. The default configuration is affected. Setting disableCache to true prevents the behavior. Patches: upgrade to @fastify/reply-from 12.6.4. Workarounds: pass disableCache: true when registering the plugin.

出典: NIST National Vulnerability Database NVD

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

@fastify/reply-fromのバージョン8.3.1から12.6.4未満には、URLキャッシュキーの作成において区切り文字なしで目的地とソースパスを連結する問題があります。このため、異なるパスが同じキャッシュキーを生成し、異なるアップストリームに対するリクエストでキャッシュされたURLが使い回される恐れがあります。これによりクロスアップストリームのデータアクセスおよび修正が可能となります。

❓ 何が問題か

URLキャッシュキーの生成における区切り文字不在の問題

📍 影響範囲

@fastify/reply-from バージョン8.3.1から12.6.4未満

🔥 重要度

クロスアップストリームのデータアクセスおよび修正が可能となるため、高い重要性があります。

🔧 修正方法

パッチとして、バージョン12.6.4にアップグレードしてください。

🛡️ 暫定回避

プラグイン登録時にdisableCache: trueを設定してください。

🔍 検知方法

現在使用している@fastify/reply-fromのバージョンを確認し、影響があるか判断します。

参照URL

patch cna.openjsf.org
patch github.com