Vulnérabilité dans fastify (CVE-2026-3419)
Résumé
Vulnérabilité dans fastify (CVE-2026-3419). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 5.8.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Description
Fastify incorrectly accepts malformed Content-Type headers containing trailing characters after the subtype token, in violation of RFC 9110 §8.3.1. For example, a request sent with Content-Type: application/json garbage passes validation and is processed normally, rather than being rejected with 415 Unsupported Media Type.
When regex-based content-type parsers are in use (a documented Fastify feature), the malformed value is matched against registered parsers using the full string including the trailing garbage. This means a request with an invalid content-type may be routed to and processed by a parser it should never have reached.
Impact
An attacker can send requests with RFC-invalid Content-Type headers that bypass validity checks, reach content-type parser matching, and be processed by the server. Requests that should be rejected at the validation stage are instead handled as if the content-type were valid.
Workarounds
Deploy a WAF rule to protect against this
Fix
The fix is available starting with v5.8.1.
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-3419 a été découverte dans fastify.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour fastify vers 5.8.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « fastify CVE-2026-3419 » sur le site de l'éditeur.
CVE-2026-3419 (fastify) — CWE-185
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Correctif : 5.8.1 — appliquer immédiatement
Contournement : Deploy a WAF rule to protect against this
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-185) affecte fastify.
Consultez l'avis de l'éditeur pour les versions affectées de fastify.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 5.8.1.
Contournement : Deploy a WAF rule to protect against this
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'fastify' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
fastifyを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Deploy a WAF rule to protect against thisパッチが適用されるまでの応急処置として、Deploy a WAF rule to protect against this を実施。回避策の副作用 (機能低下) を確認した上で。
-
3Apply patch patch
Upgrade fastify to 5.8.1ステージング環境で 5.8.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- web github.com
- web github.com
- web cna.openjsf.org
- web httpwg.org
- web cve.org