CVE-2026-86472 in fast-uri
Resumen
por VulDB • 2026-09-15
fast-uri es un analizador de URIs basado en RFC 3986 sin dependencias para Node.js, utilizado por Fastify y ajv. En las versiones anteriores a la 2.4.7, desde la 3.0.0 hasta la 3.1.7, y desde la 4.0.0 hasta la 4.1.4, fast-uri convierte el host a minúsculas antes de decodificarlo mediante codificación por porcentaje (percent-decode), por lo que un octeto en mayúsculas codificado como %4A se decodifica en una letra A literal que nunca se convierte a minúsculas. Para referencias relativas al esquema, como //host, no hay esquema definido, por lo que la canonización del host que normalmente corregiría este problema no se ejecuta; esto provoca discrepancias entre las funciones parse, normalize y equal respecto al mismo host. Una aplicación que tome decisiones sensibles a mayúsculas/minúsculas sobre el resultado de fast-uri (por ejemplo, una lista blanca o negra de hosts que compare el host analizado o utilice la función equal) puede ser engañada mediante un octeto en mayúsculas codificado por porcentaje, y dado que los nombres de dominio son insensibles a mayúsculas/minúsculas en DNS e HTTP, la ortografía evasiva sigue alcanzando el destino al que la verificación pretendía restringir. El problema está resuelto en fast-uri 2.4.7, 3.1.8 y 4.1.5; los usuarios deben actualizar a una de estas versiones o posteriores. Como medida alternativa (workaround), se recomienda comparar hosts ignorando mayúsculas/minúsculas convirtiendo el host analizado a minúsculas antes de tomar cualquier decisión basada en listas blancas o negras.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.