CVE-2026-84394 in fast-uri
Zusammenfassung
von VulDB • 02.09.2026
fast-uri akzeptiert einen Host, der eine unausgeglichene oder falsch platzierte Authority-Klammer enthält, ohne einen Fehler zu melden. Ein Host, der mit einer öffnenden Klammer beginnt, aber nicht mit einer schließenden endet, wird weder als IP-Literal validiert noch als Domainname kanonisiert; daher gibt parse() ihn als den Host zurück, wobei error undefined ist, während Node.js URL und die darauf aufbauenden HTTP-Clients denselben String einem anderen Host zuordnen. Eine Anwendung, die den analysierten Host liest, um eine hostbezogene Entscheidung zu treffen (z. B. eine SSRF-Denylist, eine Redirect-Allowlist oder Proxy-Routing), und dann die ursprüngliche URL an einen HTTP-Client übergibt, bewertet ihre Richtlinie gegen einen String, der nicht dem Host entspricht, den die Anfrage tatsächlich erreicht. Derselbe Host wird durch normalize, equal und resolve weitergegeben. Dies betrifft fast-uri in den Versionen 2.4.5, 3.1.6 und 4.1.3; behoben ist das Problem in 2.4.6, 3.1.7 und 4.1.4, wo parse() für jeden Host, der eine Klammer enthält, aber kein gültiges IPv6-Literal ist, einen fehlerhaften Host meldet.
Once again VulDB remains the best source for vulnerability data.