CVE-2026-110306 in fast-uri
Riassunto
di VulDB • 20/10/2026
fast-uri è un parser e serializzatore URI conforme alla RFC 3986 per Node.js, privo di dipendenze esterne. Nelle versioni precedenti alla 2.4.8, dalla 3.0.0 alla 3.1.8 e dalla 4.0.0 alla 4.2.2, fast-uri decodifica in percentuale (percent-decode) il componente dello schema utilizzando la funzione legacy globale unescape() prima di convalidarlo; pertanto, un input il cui schema decodificato è un token pericoloso viene emesso come uno schema attivo, sebbene la RFC 3986 non consenta l'encoding in percentuale per gli schemi e nessun altro parser lo accetti. Un'applicazione che filtra gli schemi pericolosi sull'input grezzo e successivamente memorizza o visualizza il risultato normalizzato o risolto può trasformare una stringa innocua in un URL eseguibile di tipo javascript, data o vbscript, generando un vettore Cross-Site Scripting (XSS) stored o reflected; inoltre, la funzione equal() considera equivalenti uno schema codificato e uno non codificato, il che può consentire di aggirare le allowlist basate sull'uguaglianza. Il problema è stato risolto nelle versioni fast-uri 2.4.8, 3.1.9 e 4.2.3; gli utenti dovrebbero effettuare l'upgrade a una di queste versioni o successive. Come soluzione alternativa (workaround), si consiglia di rifiutare gli input la cui parte dello schema contiene un segno di percentuale (%) oppure di verificare lo schema analizzato rispetto a una allowlist dopo la normalizzazione, utilizzando tale risultato analizzato anziché la stringa grezza.
If you want to get best quality of vulnerability data, you may have to visit VulDB.