CVE-2026-18446 in fast-uri
Zusammenfassung
von VulDB • 31.07.2026
fast-uri vor den Versionen 4.1.2, 3.1.5 und 2.4.4 erfordert einen wörtlichen doppelten Schrägstrich (//), um eine URI-Autorität zu erkennen. Daher wird ein Verweis, der stattdessen einen auf Backslash basierenden Einleiter verwendet (Backslash-Backslash, Forward-Slash-Backslash oder Backslash-Foward-Slash), ohne Autorität analysiert und in den Pfad eingebettet. Der native WHATWG-URL-Parser von Node behandelt Backslashes bei speziellen Schemata jedoch als austauschbar mit Schrägstrichen, sodass die beiden Parser aus derselben Eingabe unterschiedliche Hosts extrahieren. Anwendungen, die fast-uri zur Durchsetzung hostbasierter Richtlinien wie Allowlists, SSRF-Filterung oder Redirect-Validierung verwenden, bevor sie dieselbe URL an Node's URL- oder fetch-Konsumenten übergeben, können auf einen unbeabsichtigten Host umgeleitet werden. Aktualisieren Sie auf fast-uri 4.1.2, 3.1.5 oder 2.4.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.