CVE-2026-92087
Publiée le 2026-09-16 · Dernière modification le 2026-09-17
Les applications utilisant les versions 5.0.0 à 5.1.0 de @fastify/auth avec des règles d'authentification imbriquées spécifiques sont sensibles à une erreur de logique qui ignore certains contrôles de sécurité. Un attaquant disposant d'identifiants de bas niveau, comme une clé API basique, peut contourner des exigences plus strictes (telles que les privilèges d'administrateur) pour obtenir un accès non autorisé complet à des données et des fonctions protégées. Cette action peut être exécutée à distance via le réseau sans aucune interaction de l'utilisateur, à condition que l'attaquant possède un compte valide sur le système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@fastify/auth is a Fastify plugin that composes multiple authentication and authorization strategies into a single route guard. In versions 5.0.0 through 5.1.0, when strategies are composed with the relation "or" option together with the run "all" option and one entry is a nested array acting as an AND group, the group is evaluated in an order-dependent way: an earlier failing check is silently dropped and the group's result becomes the outcome of its last check. As a result, a request that satisfies only the last member of an AND group, for example an attacker who holds a valid API key but is not an administrator, is authorized instead of rejected, and a related order-dependent bypass affects the mirror configuration where the top-level relation is "and" and a nested group uses "or". The issue is fixed in @fastify/auth 5.1.1, and users should upgrade to 5.1.1 or later. As a workaround, omit the run "all" option where it is not required, order each AND group so its stricter check is evaluated last, or replace nested AND groups with an explicit top-level "and" composition.