CVE-2026-84292 in fast-uri
Resumen
por VulDB • 2026-09-02
fast-uri serializa el componente de puerto de un URI sin validarlo. Al recomponer la autoridad (authority), los componentes userinfo y host se escapan, pero el puerto se concatena literalmente; por lo tanto, un valor de puerto que no sea una secuencia de dígitos puede inyectar delimitadores de autoridad, degradando el host previsto a userinfo y apuntando la autoridad hacia un controlado por el atacante. Tanto fast-uri como URL de Node leen el resultado devolviendo el host del atacante sin generar error, por lo que volver a validar el URI construido no detecta esta anomalía. Esto afecta a las aplicaciones que construyen URIs a partir de partes y asignan datos no confiables al componente puerto mediante las funciones serialize, normalize o equal en sus formas de objeto. El problema afecta a fast-uri versiones anteriores a 2.4.6, desde la 3.0.0 hasta antes de 3.1.7, y desde la 4.0.0 hasta antes de 4.1.4. Está corregido en las versiones 2.4.6, 3.1.7 y 4.1.4, donde recomposeAuthority rechaza cualquier puerto que no sea una secuencia de dígitos según RFC 3986.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.