CVE-2026-110008
Publiée le 2026-10-19 · Dernière modification le 2026-10-19
Les versions 7.2.0 à 8.3.1 de @fastify/oauth2 gèrent les flux de connexion OAuth2 pour les applications Fastify. La faille survient lorsque les routes de connexion comportent plusieurs segments de chemin, ce qui amène le logiciel à définir des cookies de sécurité sans attribut de chemin spécifique. Comme le processus de nettoyage cible alors le chemin racine, ces cookies ne sont pas réellement supprimés après utilisation.
Un attaquant peut utiliser une valeur d'état (« state ») divulguée pour forcer une victime à se connecter au compte de l'attaquant lui-même, une technique connue sous le nom de CSRF de connexion. Cela affecte l'intégrité et la confidentialité en associant la session de la victime à une identité erronée. L'exécution est difficile, car elle nécessite un accès réseau et une interaction spécifique de l'utilisateur, mais aucune authentification préalable n'est requise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@fastify/oauth2 is a Fastify wrapper for OAuth2 login flows. In versions 7.2.0 through 8.3.1, the state and code-verifier cookies are set without a Path attribute at a login route with two or more path segments, while the clearing step at the OAuth callback writes them with a root path, so the original cookies survive the callback and the documented single-use guarantee for the state value does not hold. A state value an attacker learns stays valid for the rest of the browser session, letting the attacker drive their own authorization flow in the victim's browser and sign the victim in to the attacker's account (login CSRF). The issue is fixed in @fastify/oauth2 8.3.2, and users should upgrade to 8.3.2 or later. As a workaround, set an explicit cookie path so the set and the clear name the same cookie.