Fastify 修复头部名校验绕过漏洞

Fastify 发布安全公告 GHSA-389g-gv7q-r4x8，修复 headers schema 中 propertyNames 子 schema 的头部名校验绕过问题。公告称，编译前只有属性键位置的头部名会被转成小写，enum 与 const 里的头部名没有归一化，因此以标准大小写书写的拒绝列表无法匹配小写请求头，被禁止的头部仍能到达处理函数。公告称这是对 CVE-2026-84428 的不完整修复。 使用 propertyNames 拒绝列表或允许列表约束请求头名的应用，实际得不到预期的约束。用户应升级到 fastify 5.12.6 或更高版本；该版本会把 propertyNames 子 schema 中 enum 和 const 里的头部名转为小写，使其与小写请求头匹配。 公告给出的临时措施是：把 propertyNames 头部名约束写成小写（例如 enum: ['x-debug-override']），或在 onRequest、preValidation 钩子中执行头部检查，而不依赖 schema。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。