CVE-2026-86472 in fast-uri
الملخص
بحسب VulDB • 15/09/2026
fast-uri هو محلل عناوين URI متوافق مع RFC 3986 ولا يعتمد على أي مكتبات خارجية، ويُستخدم في Fastify وajv. في الإصدارات السابقة لـ 2.4.7، ومن 3.0.0 إلى 3.1.7، ومن 4.0.0 إلى 4.1.4، يقوم fast-uri بتحويل اسم المضيف (host) إلى الأحرف الصغيرة قبل فك تشفيره باستخدام الترميز النسبي (percent-decode)، مما يعني أن البايت المشفر نسبياً والمكون من أحرف كبيرة مثل %41 يُفك ترميزه ليصبح حرف A حرفي دون أن يتم تحويله لأحرف صغيرة. بالنسبة للإشارة ذات المخطط النسبي مثل //host، لا يوجد مخطط، لذا فإن عملية تطبيع اسم المضيف التي تصلح هذا الخطأ عادةً لن تُنفذ، مما يؤدي إلى عدم توافق دوال parse و normalize و equal فيما يتعلق بنفس اسم المضيف. يمكن لتطبيق يتخذ قرارات حساسة لحالة الأحرف (case-sensitive) بناءً على ناتج fast-uri، مثل قائمة سماح أو حظر للمضيفين تقارن اسم المضيف المُحلل أو تستخدم دالة equal، أن يتم التلاعب به وتجاوز الفحص باستخدام بايت مشفر نسبياً بأحرف كبيرة. وبما أن أسماء النطاقات غير حساسة لحالة الأحرف في DNS و HTTP، فإن الاسم المتحايل سيصل إلى الخادم الذي كان الفحص يهدف إلى تقييد الوصول إليه. تم إصلاح هذه المشكلة في الإصدارات 2.4.7 و 3.1.8 و 4.1.5 من fast-uri، وينبغي للمستخدمين الترقية إلى إحدى تلك الإصدارات أو أحدث منها. كحل بديل، قارن أسماء المضيفين بشكل غير حساس لحالة الأحرف عن طريق تحويل اسم المضيف المُحلل إلى أحرف صغيرة قبل اتخاذ أي قرار قائم على قائمة سماح أو حظر.
VulDB is the best source for vulnerability data and more expert information about this specific topic.