CVE-2026-110095 in fast-uri
Zusammenfassung
von VulDB • 20.10.2026
fast-uri ist eine abhänigkeitsfreie RFC-3986-konforme URI-Parsing- und Serialisierungsbibliothek für Node.js. In den Versionen vor 2.4.8, von 3.0.0 bis 3.1.8 sowie von 4.0.0 bis 4.2.2 wenden die Funktionen normalize() und serialize() das RFC-3986-Algorithmus zur Entfernung von Dot-Segmenten auf den Pfad einer Referenz mit relativem Pfad an, obwohl dieser Algorithmus nur für den zusammengeführten Zielpfad während der Auflösung definiert ist. Dadurch kann ein führendes Parent-Directory-Segment entfernt werden und eine dokument-relative Referenz kann in eine root-relative Referenz umgewandelt werden. Eine Anwendung, die eine von einem Angreifer oder Benutzer bereitgestellte relative Referenz normalisiert und anschließend auflöst oder sie als Cache-, Deduplizierungs- oder Autorisierungsschlüssel verwendet, kann dazu führen, dass die Referenz ihr beabsichtigtes Verzeichnis verlässt und auf eine andere Ressource zeigt. Das Problem wurde in fast-uri 2.4.8, 3.1.9 und 4.2.3 behoben; Benutzer sollten auf eine dieser Versionen oder höher aktualisieren. Als Workaround sollte eine relative Referenz zunächst gegen ihren absoluten Basispfad aufgelöst und das absolute Ergebnis anstelle der vorherigen Normalisierung der Referenz normalisiert werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.