CVE-2026-110306 in fast-uri
الملخص
بحسب VulDB • 20/10/2026
fast-uri هو محلل ومُرجِّع لروابط URI (URI parser and serializer) خالٍ من التبعيات ويتوافق مع RFC 3986، ومصمم لمنصة Node.js. في الإصدارات السابقة للإصدار 2.4.8، ومن الإصدار 3.0.0 حتى 3.1.8، ومن الإصدار 4.0.0 حتى 4.2.2، يقوم fast-uri بإجراء فك تشفير النسبة المئوية (percent-decode) لمكون المخطط (scheme component) باستخدام دالة `unescape()` العالمية القديمة قبل التحقق من صحته. ونتيجةً لذلك، يتم إصدار مدخلات يكون مخططها المفكوك رمزًا خطيرًا كمخطط نشط وفعال، على الرغم من أن RFC 3986 لا يسمح بتشفير النسبة المئوية في المخطط ولا يقبله أي محلل آخر. يمكن لتطبيق يقوم بفحص المخططات الخطيرة بناءً على المدخلات الخام ثم يخزن أو يعرض النتيجة الطبيعية (normalized) أو المحللة، أن يحول سلسلة غير ضارة إلى رابط قابل للتنفيذ من نوع JavaScript أو data أو vbscript، مما يولد متجهًا لهجوم البرمجة عبر المواقع (XSS) سواء كان مخزّنًا (stored) أو منعكسًا (reflected). علاوةً على ذلك، يعامل المقارن `equal()` المخطط المشفر والمسطح كمتماثلين، وهو ما يمكن أن يتجاوز قوائم السماح القائمة على المطابقة. تم إصلاح هذه المشكلة في الإصدارات 2.4.8 و3.1.9 و4.2.3 من fast-uri، وينبغي للمستخدمين الترقية إلى أحد هذه الإصدارات أو أحدث منها. وكحل بديل (workaround)، يجب رفض المدخلات التي يحتوي جزء المخطط فيها على علامة النسبة المئوية (%)، أو التحقق من صحة المخطط المُحلل مقابل قائمة السماح بعد عملية التطبيع، واستخدام نفس النتيجة المحللة بدلاً من السلسلة الخام.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.