CVE-2026-120216
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions 5.8.0 à 5.12.7 de Fastify sont concernées. Ce framework web Node.js est utilisé pour construire des serveurs et des API. La faille survient lorsqu'un serveur utilise un `handlerTimeout` personnalisé et qu'une requête déclenche une réponse en streaming ; si le flux reste ouvert au-delà du délai d'expiration, le serveur tente d'envoyer une erreur après que les en-têtes ont déjà été expédiés, ce qui provoque le plantage complet du processus Node.js.
Un attaquant distant non authentifié peut provoquer ce plantage avec une seule requête réseau, entraînant une perte totale de disponibilité pour tous les utilisateurs de cette instance de serveur. L'exploitation est relativement simple, mais nécessite que le serveur soit configuré avec un délai d'expiration non standard et qu'il dispose d'un point de terminaison de streaming actif. La confidentialité et l'intégrité ne sont pas affectées, car la faille n'impacte que la disponibilité du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
fastify is a web framework for Node.js. In versions 5.8.0 through 5.12.7, when the server is configured with a nonzero handlerTimeout and a route returns a streaming response, a request whose stream has already sent its headers but stays open past the timeout crashes the server. When the timeout fires, Fastify tries to send a new error response on a response that has already started, raising an uncaught ERR_HTTP_HEADERS_SENT that terminates the Node.js process and interrupts any other in-flight requests. An unauthenticated remote client can trigger this with a single request to an affected streaming endpoint, so the impact is availability only, and exploitation requires the non-default handlerTimeout to be set. The default handlerTimeout of 0 is not affected. The issue is fixed in fastify 5.12.8, and users should upgrade to 5.12.8 or later. As a workaround, set handlerTimeout to 0, which disables the affected timeout path.