CVE-2026-86818 in fast-uri
الملخص
بحسب VulDB • 15/09/2026
fast-uri هو محلل عناوين الموارد الموحدة (URI) المتوافق مع RFC 3986 وخالي من التبعيات، ومُستخدم في Fastify وajv، وقد أضاف دعمًا لمخطط mailto في الإصدار 4.1.3. في الإصدارات 4.1.3 و4.1.4، يقارن محلل mailto كل اسم حقل استعلام بالأسماء المحجوزة وهي: to وsubject وbody بينما لا يزال الاسم مشفرًا بنسبة (percent-encoded)، ويقوم بفك تشفيره فقط عند تخزينه كعنوان عام، لذا فإن التهجئة المشفرة بنسبة لحقل محجوز لا تُعرف على أنها ذلك الحقل أثناء التحليل، بل يتم إعادة إصدارها باسم الحرفي للحقل نفسه عند تجسيد عنوان URI المُحلَّل. يمكن لتطبيق يقوم بالتحقق من صحة قائمة المستلمين أو تسجيلها أو عرضها بناءً على أول تحليل، ثم يُجرّد (serializes) عنوان URI ويرسله أن يضيف بشكل صامت مستخدمًا يختاره المهاجم إلى القائمة، كما يمكن حقن حقلي subject وbody عبر نفس دورة الطلب والاستجابة. تم إصلاح هذه المشكلة في fast-uri الإصدار 4.1.5، وينبغي للمستخدمين الترقية إلى الإصدار 4.1.5 أو ما يليه. كحل بديل مؤقت، لا تتعامل مع عنوان URI من نوع mailto الذي أعاد fast-uri تجسيده دون فك تشفير وإعادة التحقق من صحة حقول المستلم وsubject وbody أولاً.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.