CVE-2026-86472 in fast-uri
Zusammenfassung
von VulDB • 15.09.2026
fast-uri ist eine abwärtskompatible RFC-3986-URI-Parsing-Bibliothek für Node.js ohne Abhängigkeiten, die von Fastify und ajv verwendet wird. In den Versionen vor 2.4.7, von 3.0.0 bis 3.1.7 sowie von 4.0.0 bis 4.1.4 wandelt fast-uri den Host in Kleinbuchstaben um, bevor er die Prozentdekodierung des Hosts durchführt. Daher wird ein prozentkodiertes Oktett mit Großbuchstaben wie %41 zu einem wörtlichen „A“ dekodiert, das niemals in Kleinbuchstaben umgewandelt wird. Bei einer schemabezogenen Referenz wie //host gibt es kein Schema, sodass die Host-Kanonisierung, die dies normalerweise korrigieren würde, nicht ausgeführt wird; parse, normalize und equal stimmen bei demselben Host dann nicht überein. Eine Anwendung, die auf der Grundlage von fast-uri-Ausgaben eine fallunterscheidende Entscheidung über den Host trifft (z. B. eine Allowlist oder Denylist, die den geparseden Host vergleicht oder equal verwendet), kann mit einem prozentkodierten Oktett in Großbuchstaben an dieser Prüfung vorbeigeführt werden. Da Hostnamen im DNS und HTTP nicht fallunterscheidend sind, erreicht die umgehende Schreibweise weiterhin den Host, der durch die Prüfung geschützt werden sollte. Das Problem wurde in fast-uri 2.4.7, 3.1.8 und 4.1.5 behoben; Benutzer sollten auf eine dieser Versionen oder höher aktualisieren. Als Workaround sollten Hosts fallunabhängig verglichen werden, indem der geparsedte Host vor jeder Allowlist- oder Denylist-Entscheidung in Kleinbuchstaben umgewandelt wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.