Dans Fastify 5.12.2 à 5.12.5, des noms d’en-tête définis dans certaines règles `propertyNames` ne sont pas convertis en minuscules, ce qui peut permettre de contourner une règle de validation et de transmettre un en-tête interdit au gestionnaire de route. Mettez à jour Fastify vers la version 5.12.6 ou ultérieure ; à défaut, déclarez les noms d’en-tête en minuscules.
Source : NVD — CVE-2026-107832
Analyse technique
Les valeurs enum ou const de noms d’en-tête imbriquées dans un sous-schéma propertyNames ne sont pas normalisées en minuscules. Une liste d’autorisation ou de refus sensible à la casse peut donc ne pas correspondre aux en-têtes reçus, normalisés en minuscules.
Impact, versions et correctif
Détection / vérification
Examiner les versions de Fastify utilisées et vérifier si des schémas de route définissent des règles d’autorisation d’en-têtes avec enum ou const en casse canonique, imbriquées dans propertyNames.
Action recommandée
Mettre à jour Fastify vers la version 5.12.6 ou ultérieure ; si la mise à jour n’est pas immédiate, déclarer les noms d’en-tête en minuscules.
Sources
Priorisation DFS : P4 · 1 source(s).