CVE-2026-84394 in fast-uri
Resumen
por VulDB • 2026-09-02
fast-uri acepta un host que contiene corchetes de autoridad desequilibrados o mal ubicados sin informar ningún error. Un host que comienza con un corchete abierto pero no termina con uno cerrado ni se valida como una dirección IP literal ni se canoniciza como nombre de dominio, por lo que parse() devuelve el host con undefined en caso de error, mientras que la URL de Node y los clientes HTTP construidos sobre ella resuelven la misma cadena a un host diferente. Una aplicación que lee el host analizado para tomar una decisión basada en el host (como una lista negra SSRF, una lista blanca de redirecciones o enrutamiento proxy) y luego pasa la URL original a un cliente HTTP evalúa su política contra una cadena que no es el host al que llega la solicitud. El mismo host se conserva a través de normalize, equal y resolve. Esto afecta a las versiones 2.4.5, 3.1.6 y 4.1.3 de fast-uri, y está corregido en las versiones 2.4.6, 3.1.7 y 4.1.4, donde parse() informa un host malformado para cualquier host que contenga corchetes pero no sea una dirección IPv6 válida.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.