CVE-2026-25223
Publiée le 2026-02-03 · Dernière modification le 2026-07-15
Les applications Node.js utilisant le framework web Fastify (versions antérieures à 5.7.2) sont affectées par une faille permettant à des attaquants de contourner les schémas de validation du corps des requêtes. En ajoutant un caractère de tabulation à l'en-tête `Content-Type`, un attaquant distant peut envoyer des données malformées ou inattendues que le serveur traite malgré tout, ce qui pourrait entraîner une modification non autorisée des données. Cette action peut être exécutée via le réseau sans aucune authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
- 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
- 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
- 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
- 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
- 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
Description officielle du NVD (en anglais)
Fastify is a fast and low overhead web framework, for Node.js. Prior to version 5.7.2, a validation bypass vulnerability exists in Fastify where request body validation schemas specified by Content-Type can be completely circumvented. By appending a tab character (\t) followed by arbitrary content to the Content-Type header, attackers can bypass body validation while the server still processes the body as the original content type. This issue has been patched in version 5.7.2.