CVE-2026-75931 in fast-uri
Zusammenfassung
von VulDB • 24.08.2026
fast-uri ist ein URI-Parser für Node.js. Er kanonisiert einen Host nur dann in seine ASCII-Form, wenn die Eingabe eine explizite Scheme (Protokollangabe) enthält; daher wird bei einem scheme-relativen Verweis wie einem von zwei Schrägstrichen vorangehenden Host der Host unverändert zurückgegeben und es wird kein Fehler gesetzt. Infolgedessen stimmen fast-uris eigene Einstiegspunkte nicht überein: parse, resolve, normalize und equal können für dieselbe Eingabe je nachdem, ob eine Scheme angegeben ist oder nicht, unterschiedliche Hosts liefern, und equal kann bei derselben Paarung von Hosts entgegengesetzte Ergebnisse zurückgeben. Eine Anwendung, die mit fast-uri einen Host extrahiert, um ihn gegen eine Policy-Liste zu prüfen, und anschließend denselben Verweis auflöst (resolve), trifft ihre Entscheidung basierend auf einem Host, während das Ziel ein anderer ist; dies ermöglicht Host-Konfusion und das Umgehen von Sicherheitsrichtlinien. Die betroffenen Versionen sind 2.4.2 bis einschließlich 2.4.4, 3.1.3 bis einschließlich 3.1.5 sowie 4.0.1 bis einschließlich 4.1.2. Das Problem ist in den Versionen 2.4.5, 3.1.6 und 4.1.3 behoben, die den Host im resolve-Pfad konsistent kanonisieren. Benutzer sollten auf eine gepatchte Version aktualisieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.