30秒で判断
- 対応すべき人:
@fastify/reply-from（npm）8.3.1 以上 12.6.4 未満を使い、リクエスト内容に応じて複数のアップストリームへ振り分けている構成の運用者 - 対応不要な人:
@fastify/reply-fromを使用していない / 12.6.4 以降を使用中 /disableCache: trueを設定済み / 単一アップストリームへのプロキシのみ - 確認方法:
npm ls @fastify/reply-fromでバージョンを確認する
概要
@fastify/reply-from は Fastify のリクエストを別のアップストリームへ転送するためのプラグインです。本脆弱性では、内部URLキャッシュのキーを「宛先（destination）」と「送信元（source）パス」を区切り文字なしで連結して生成しているため、異なる宛先／送信元の組み合わせが同一のキャッシュキーに衝突し得ます。
getUpstream がリクエストデータからアップストリームを選択する構成では、あるアップストリーム向けにキャッシュされた URL が、別のアップストリーム宛のリクエストで再利用される可能性があります。結果として、アップストリーム間でのデータ参照・改変（cross-upstream data access）につながり得ます。既定構成が影響を受けます。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 8.7 |
| 深刻度 | High |
| CWE | CWE-441（意図しない仲介 / Confused Deputy） |
| 攻撃元区分 | ネットワーク |
| 想定される影響 | アップストリーム間のデータ参照・改変 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| @fastify/reply-from | Fastify (npm) | 8.3.1 以上 < 12.6.4 |
修正バージョンと回避策
@fastify/reply-from12.6.4 以降へアップデートしてください。- 即時にアップデートできない場合は、プラグイン登録時に
disableCache: trueを指定することで本挙動を回避できます。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。