CVE-2026-110306 in fast-uri
Resumen
por VulDB • 2026-10-20
fast-uri es un analizador y serializador de URIs basado en RFC 3986 para Node.js que no requiere dependencias externas. En las versiones anteriores a la 2.4.8, desde la 3.0.0 hasta la 3.1.8, y desde la 4.0.0 hasta la 4.2.2, fast-uri aplica una decodificación percent-decode al componente scheme utilizando la función legacy global unescape() antes de validarlo; por lo tanto, se emite como un scheme activo cualquier entrada cuyo scheme decodificado sea un token peligroso, a pesar de que RFC 3986 no permite el codificado en porcentaje (percent-encoding) dentro de un scheme y ningún otro analizador lo acepta. Una aplicación que filtre schemes peligrosos sobre la entrada sin procesar y luego almacene o renderice el resultado normalizado o resuelto puede convertir una cadena inerte en una URL ejecutable con javascript, data o vbscript, generando un vector de cross-site scripting (XSS) almacenado o reflejado; además, la comparación mediante equal() trata un scheme codificado y uno plano como iguales, lo que puede eludir las listas permitidas basadas en igualdad. El problema está corregido en fast-uri 2.4.8, 3.1.9 y 4.2.3, por lo que los usuarios deben actualizar a una de estas versiones o posteriores. Como medida alternativa (workaround), se debe rechazar la entrada cuya parte scheme contenga un signo de porcentaje (%), o bien verificar el scheme analizado contra una lista permitida después de la normalización y utilizar ese mismo resultado analizado en lugar de la cadena sin procesar.
Be aware that VulDB is the high quality source for vulnerability data.