« Volver al listado

CVE-2026-107318

Estado: AplazadaAlta (7.4)—

@fastify/reply-from es un plugin de Fastify que reenvía solicitudes a un servidor HTTP o HTTPS ascendente (upstream). En versiones anteriores a la 12.7.0, todos los transportes HTTPS integrados anulan el valor predeterminado seguro y establecen rejectUnauthorized en false, por lo que el proxy no verifica el certificado TLS del servidor ascendente ni siquiera cuando la aplicación lo dirige a un upstream https en la configuración predeterminada.

Leer descripción completaMostrar menos

Por tanto, un atacante de red situado en la ruta puede suplantar el upstream HTTPS configurado, leer las credenciales y los cuerpos de las solicitudes que reenvía el proxy y devolver respuestas falsificadas en las que confía la aplicación. El problema está corregido en @fastify/reply-from 12.7.0, y los usuarios deben actualizar a la 12.7.0 o posterior. Como solución alternativa, pase un rejectUnauthorized true explícito en el transporte, proporcione una instancia de undici ya configurada o utilice el agente global de undici.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Atacante en la ruta (AV:N, AC:H) suplanta servidor HTTPS deshabilitando validación TLS (CWE-295). Lee credenciales/cuerpos de solicitud y retorna respuestas falsas que la app confía.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Network SegmentationEncrypt Sensitive InformationDisable or Remove Feature or ProgramUser TrainingUser Account ManagementRestrict File and Directory Permissions

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Fastify — Reply-fromAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107318",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107318",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-09T11:50:31.702426Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "ce714d77-add3-4f53-aff5-83d477b104bb",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.4,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.2,
        "exploitabilityScore": 2.2
      }
    ]
  },
  "affected": [
    {
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb",
      "affectedData": [
        {
          "vendor": "@fastify/reply-from",
          "product": "@fastify/reply-from",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "lessThan": "12.7.0",
              "versionType": "semver"
            },
            {
              "status": "unaffected",
              "version": "12.7.0",
              "versionType": "semver"
            }
          ],
          "packageURL": "pkg:npm/@fastify/reply-from",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-08T21:17:51.807",
  "references": [
    {
      "url": "https://cna.openjsf.org/security-advisories.html",
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb"
    },
    {
      "url": "https://github.com/fastify/fastify-reply-from/security/advisories/GHSA-j425-jw94-m29r",
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb",
      "description": [
        {
          "lang": "en",
          "value": "CWE-295"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "@fastify/reply-from is a Fastify plugin that forwards requests to an upstream HTTP or HTTPS server. In versions prior to 12.7.0, all of the built-in HTTPS transports override the secure default and set rejectUnauthorized to false, so the proxy does not verify the TLS certificate of the upstream even when the application points it at an https upstream in the default configuration. An on-path network attacker can therefore impersonate the configured HTTPS upstream, read the credentials and request bodies the proxy forwards, and return forged responses that the application trusts. The issue is fixed in @fastify/reply-from 12.7.0, and users should upgrade to 12.7.0 or later. As a workaround, pass an explicit rejectUnauthorized true on the transport, supply an already configured undici instance, or use the undici global agent."
    }
  ],
  "lastModified": "2026-10-09T12:17:08.147",
  "sourceIdentifier": "ce714d77-add3-4f53-aff5-83d477b104bb"
}