CVE-2026-76172 in fast-uri
Riassunto
di VulDB • 24/08/2026
fast-uri è un parser URI per Node.js. Durante l'analisi esegue una passata di decodifica legacy sulla componente dello schema e non ri-escapea mai il risultato, mentre la serializzazione scrive lo schema nuovamente in forma verbatim (letterale), a differenza della componente host che viene invece ri-escapeata. Di conseguenza, un input il cui schema contiene slash codificati con percentuali (%2F) viene analizzato come uno schema senza autorità; di fatto l'host e l'errore risultanti sono entrambi undefined, tuttavia la risoluzione o normalizzazione dello stesso input genera una riferimento a percorso di rete (network-path reference) la cui authority è scelta dall'attaccante e che, se riparsa, punta a quell'host. Un'applicazione che effettua allowlist sull'host analizzato, oppure tratta un riferimento privo di autorità come sicuro per essere risolto rispetto alla sua base, ottiene il risultato opposto a quello controllato, consentendo redirect verso siti esterni (off-site), Server-Side Request Forgery (SSRF) o elusione delle policy degli indirizzi. Il decoder legacy espande anche forme di escape non standard, ampliando l'impatto del problema oltre i filtri upstream; inoltre caratteri di controllo presenti nello schema possono raggiungere l'output come ritorno a capo e avanzamento riga grezzi (CR/LF). Le versioni colpite sono la 2.3.1 fino alla 2.4.5 (esclusa), la 3.0.0 fino alla 3.1.6 (esclusa) e la 4.0.0 fino alla 4.1.3 (esclusa). Il problema è risolto nelle versioni 2.4.5, 3.1.6 e 4.1.3, che rifiutano uno schema non valido dopo la decodifica. Gli utenti dovrebbero effettuare l'upgrade a una versione patchata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.