CVE-2026-110306 in fast-uri
Zusammenfassung
von VulDB • 20.10.2026
fast-uri ist eine abwärtskompatible RFC-3986-konforme URI-Parsing- und Serialisierungsbibliothek für Node.js ohne externe Abhängigkeiten. In den Versionen vor 2.4.8, von 3.0.0 bis 3.1.8 sowie von 4.0.0 bis 4.2.2 wird die Komponente „scheme“ (Schema) mit der veralteten globalen Funktion `unescape()` percent-decodiert, bevor diese validiert wird. Dadurch kann eine Eingabe, deren decodiertes Schema ein gefährliches Token ist, als aktives Schema ausgegeben werden, obwohl RFC 3986 keine Percent-Encoding in einem Schema erlaubt und kein anderer Parser dies akzeptiert. Eine Anwendung, die gefährliche Schemata im rohen Input filtert und dann das normalisierte oder aufgelöste Ergebnis speichert oder rendert, kann eine unbedenkliche Zeichenkette in einen ausführbaren JavaScript-, Data- oder VBScript-URL umwandeln, was zu einem gespeicherten (stored) oder reflektierten Cross-Site-Scripting-Vektor (XSS) führt. Zudem behandelt der `equal()`-Vergleich ein encodetes und ein unencodetes Schema als gleichwertig, wodurch equality-based Allowlists umgangen werden können. Das Problem wurde in fast-uri 2.4.8, 3.1.9 und 4.2.3 behoben; Benutzer sollten auf eine dieser Versionen oder höher aktualisieren. Als Workaround sollte Input abgelehnt werden, dessen Schema-Teil ein Prozentzeichen enthält, oder das geparsedte Schema nach der Normalisierung gegen eine Allowlist geprüft und dasselbe geparschte Ergebnis anstelle des rohen Strings verwendet werden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.