GitHub 安全公告库 (GHSA)·2026-10-23 00:40· 2 小时前精选AI 评分58

fastify 修复 propertyNames 头部名校验绕过问题，升级至 5.12.6

fastify is vulnerable to header validation bypass via case-sensitive propertyNames

AI 导读

fastify 发布通告，指出 headers schema 在编译前只把属性键位置的头部名转小写，propertyNames 子 schema 中 enum 与 const 里的头部名未被归一化，导致以标准大小写书写的头部名拒绝列表无法匹配小写请求头，被禁止的头部仍可到达处理函数。

为什么值得看

通告说明这是 CVE-2026-84428 修复不完整留下的缺口，并给出 5.12.6 升级与两种规避写法。