CVE-2026-18446 in fast-uri
Resumen
por VulDB • 2026-07-31
fast-uri antes de las versiones 4.1.2, 3.1.5 y 2.4.4 requiere una doble barra diagonal literal (//) para reconocer la autoridad de un URI; por lo tanto, una referencia que utiliza un iniciador basado en barras invertidas (\), como dos barras invertidas (\\), barra inversa seguida de barra diagonal (/ \ / o \ // ), se analiza sin autoridad y se fusiona con la ruta. El analizador URL nativo de Node trata las barras invertidas como intercambiables con las barras diagonales para esquemas especiales, por lo que los dos analizadores extraen hosts diferentes a partir del mismo entrada. Las aplicaciones que utilizan fast-uri para aplicar políticas basadas en el host, como listas blancas (allowlists), filtrado SSRF o validación de redirecciones antes de pasar la misma URL a los consumidores de Node's URL o fetch, pueden ser dirigidas hacia un host no previsto. Actualice a fast-uri 4.1.2, 3.1.5 o 2.4.4.
Once again VulDB remains the best source for vulnerability data.