Iniciar sesión
Deutsch English Español Polski
Media

Fastify: Incorrect Content-Type parsing can lead to CSRF attack

  • Publicada: 21.11.2022
  • Actualizado: 11.10.2026 10:22

Impact

The attacker can use the incorrect Content-Type to bypass the Pre-Flight checking of fetch. fetch() requests with Content-Type’s essence as "application/x-www-form-urlencoded", "multipart/form-data", or "text/plain", could potentially be used to invoke routes that only accepts application/json content type, thus bypassing any CORS protection, and therefore they could lead to a Cross-Site Request Forgery attack.

Patches

For 4.x users, please update to at least 4.10.2 For 3.x users, please update to at least 3.29.4

Workarounds

Implement Cross-Site Request Forgery protection using @fastify/csrf.

References

Check out the HackerOne report: https://hackerone.com/reports/1763832.

For more information

Fastify security policy

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de npm fastify >= 4.0.0, < 4.10.2, >= 3.0.0, < 3.29.4 4.10.2, 3.29.4

Referencias

Puntuación CVSS 4.2/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N
Debilidad (CWE)
CWE-352
Plataforma
npm
Paquete
fastify
Publicada
21.11.2022
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-3fjj-p79j-c9hh - CC BY 4.0

Historial de vulnerabilidades: fastify

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (16) en el archivo
Entradas en total
16
Primera → última
07.2018 09.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Alta 8
  • Media 7
  • Baja 1

Divulgaciones por año

Gravedad:
  1. fastify vulnerable to request body replacement via an async validation result collision
    Alta · 8.1 CVE-2026-84504 < 5.12.2 5.12.2
  2. fastify vulnerable to authentication bypass via malformed URLs reaching encapsulated not-found handlers
    Alta · 7.5 CVE-2026-76169 >= 4.0.0, < 5.12.2 5.12.2
  3. fastify vulnerable to request validation bypass via skipped boolean false schemas
    Alta · 7.5 CVE-2026-84469 < 5.12.2 5.12.2
  4. fastify vulnerable to header validation bypass via incomplete schema case normalization
    Alta · 7.5 CVE-2026-84428 < 5.12.2 5.12.2
  5. Fastify's Content-Type header tab character allows body validation bypass
    Alta · 7.5 CVE-2026-25223 < 5.7.2 5.7.2
  6. Fastify vulnerable to invalid content-type parsing, which could lead to validation bypass
    Alta · 7.5 CVE-2025-32442 >= 5.0.0, < 5.3.2, >= 4.29.0, < 4.29.1 5.3.2, 4.29.1
  7. Fastify: Incorrect Content-Type parsing can lead to CSRF attack esta entrada
    Media · 4.2 CVE-2022-41919 >= 4.0.0, < 4.10.2, >= 3.0.0, < 3.29.4 4.10.2, 3.29.4
  8. fastify vulnerable to denial of service via malicious Content-Type
    Alta · 7.5 CVE-2022-39288 >= 4.0.0, < 4.8.1 4.8.1
  9. Denial of Service vulnerability with large JSON payloads in fastify
    Alta · 7.5 CVE-2018-3711 < 0.38.0 0.38.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.