CVE-2026-110008

Estado: Pendiente de análisisMedia (4.2)—

Gravedad4.2Media · CVSS 3.1

Probabilidad de explotación0.10 %mayor que el 1 % de las CVE

Explotación activaNono figura en el catálogo de CISA

Exploit públicoNo conocidosin código público localizado

@fastify/oauth2 es un wrapper de Fastify para flujos de inicio de sesión OAuth2. En las versiones 7.2.0 a 8.3.1, las cookies de state y de code-verifier se establecen sin un atributo Path en una ruta de inicio de sesión con dos o más segmentos, mientras que el paso de borrado en la devolución de llamada de OAuth las escribe con una ruta raíz; por ello, las cookies originales sobreviven a la devolución de llamada y la garantía de un solo uso documentada para el valor de state no se cumple.

Leer descripción completaMostrar menos

Un valor de state que un atacante llegue a conocer sigue siendo válido durante el resto de la sesión del navegador, lo que permite al atacante dirigir su propio flujo de autorización en el navegador de la víctima e iniciar sesión en la cuenta del atacante en lugar de en la suya (login CSRF). El fallo está corregido en @fastify/oauth2 8.3.2, y los usuarios deben actualizar a la versión 8.3.2 o posterior. Como solución temporal, establezca una ruta de cookie explícita para que el establecimiento y el borrado se refieran a la misma cookie.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base: 4.2
Versión: 3.1
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días: 0.10 %
Percentil entre todas las CVEs puntuadas: 1
Fecha de la puntuación: 20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1203 Exploitation for Client Executionexecution85 %
Impacto principalT1185 Browser Session Hijackingcollection50 %

El vector exige interacción del usuario (UI:R) y la cookie de state no caduca tras el callback, permitiendo login CSRF en el navegador de la víctima; T1185 es un ajuste aproximado.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

User Training User Account Management Application Isolation and Sandboxing Exploit Protection Update Software

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Fastify — Oauth2^AI

CWE

CWE-352, CWE-459, CWE-613

Referencias

Mostrar las 2 referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-110008",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-110008",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-19T14:26:36.141774Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "ce714d77-add3-4f53-aff5-83d477b104bb",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 4.2,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "REQUIRED",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.5,
        "exploitabilityScore": 1.6
      }
    ]
  },
  "affected": [
    {
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb",
      "affectedData": [
        {
          "vendor": "@fastify/oauth2",
          "product": "@fastify/oauth2",
          "versions": [
            {
              "status": "affected",
              "version": "7.2.0",
              "lessThan": "8.3.2",
              "versionType": "semver"
            },
            {
              "status": "unaffected",
              "version": "8.3.2",
              "versionType": "semver"
            }
          ],
          "packageURL": "pkg:npm/@fastify/oauth2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-19T14:16:57.527",
  "references": [
    {
      "url": "https://cna.openjsf.org/security-advisories.html",
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb"
    },
    {
      "url": "https://github.com/fastify/fastify-oauth2/security/advisories/GHSA-7fcr-mwg4-pw9q",
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "ce714d77-add3-4f53-aff5-83d477b104bb",
      "description": [
        {
          "lang": "en",
          "value": "CWE-352"
        },
        {
          "lang": "en",
          "value": "CWE-459"
        },
        {
          "lang": "en",
          "value": "CWE-613"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "@fastify/oauth2 is a Fastify wrapper for OAuth2 login flows. In versions 7.2.0 through 8.3.1, the state and code-verifier cookies are set without a Path attribute at a login route with two or more path segments, while the clearing step at the OAuth callback writes them with a root path, so the original cookies survive the callback and the documented single-use guarantee for the state value does not hold. A state value an attacker learns stays valid for the rest of the browser session, letting the attacker drive their own authorization flow in the victim's browser and sign the victim in to the attacker's account (login CSRF). The issue is fixed in @fastify/oauth2 8.3.2, and users should upgrade to 8.3.2 or later. As a workaround, set an explicit cookie path so the set and the clear name the same cookie."
    }
  ],
  "lastModified": "2026-10-19T21:13:39.973",
  "sourceIdentifier": "ce714d77-add3-4f53-aff5-83d477b104bb"
}