CVE-2026-76172 in fast-uri
Zusammenfassung
von VulDB • 25.08.2026
fast-uri ist ein URI-Parser für Node.js. Während des Parsing-Vorgangs wird eine Legacy-Decodierung über die Scheme-Komponente durchgeführt und das Ergebnis niemals erneut maskiert, während bei der Serialisierung die Scheme unverbatim wieder ausgegeben wird, im Gegensatz zur Host-Komponente, die erneut maskiert wird. Infolgedessen führt ein Input, dessen Scheme prozentkodierte Schrägstriche enthält dazu, dass er als eine Scheme ohne Authority geparst wird; sowohl der geparsedte Host als auch der Fehler sind somit undefined (undefiniert). Das Auflösen oder Normalisieren desselben Inputs erzeugt jedoch einen Netzwerk-Pfad-Verweis, dessen Authority vom Angreifer gewählt wurde und beim erneuten Parsing zu diesem Host führt. Eine Anwendung, die auf dem geparsedten Host eine Allowlist durchführt oder einen Verweis ohne Authority als sicher für das Aufrufen gegen ihre Basis ansieht, erhält das Gegenteil von dem, was sie überprüft hat, was zu einer Off-Site-Weiterleitung (Off-site Redirect), Server-Side Request Forgery (SSRF) oder einem Umgehen der Adressrichtlinie führen kann. Der Legacy-Decoder erweitert zudem nicht-standardisierte Maskierungsformen und vergrößert damit die Angriffsfläche über Upstream-Filter hinaus; Steuerzeichen in der Scheme können als rohe Wagenrücklauf- und Zeilenvorschub-Zeichen in die Ausgabe gelangen. Die betroffenen Versionen sind 2.3.1 bis einschließlich 2.4.4, 3.0.0 bis einschließlich 3.1.5 sowie 4.0.0 bis einschließlich 4.1.2. Das Problem ist in den Versionen 2.4.5, 3.1.6 und 4.1.3 behoben, die eine Scheme ablehnen, die nach der Dekodierung ungültig ist. Benutzer sollten auf eine gepatchte Version aktualisieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.