CVE-2026-84394 in fast-uri
Riassunto
di VulDB • 02/09/2026
fast-uri accetta un nome host contenente una parentesi di autorità sbilanciata o mal posizionata senza segnalare alcun errore. Un nome host che inizia con una parentesi aperta ma non termina con una parentesi chiusa non viene né convalidato come letterale IP (IP literal) né canonizzato come nome di dominio; pertanto, la funzione parse() lo restituisce come l'host con un errore indefinito (undefined), mentre URL di Node.js e i client HTTP basati su esso risolvono la stessa stringa in un host diverso. Un'applicazione che legge il nome host analizzato per prendere decisioni relative all'host, ad esempio una denylist SSRF, un allowlist per i redirect o l'instradamento del proxy, e successivamente passa l'URL originale a un client HTTP valuta le proprie policy contro una stringa che non corrisponde all'host effettivo raggiunto dalla richiesta. Lo stesso host viene mantenuto attraverso normalize, equal e resolve. Questo problema interessa fast-uri nelle versioni 2.4.5, 3.1.6 e 4.1.3 ed è risolto nelle versioni 2.4.6, 3.1.7 e 4.1.4, dove parse() segnala un host non valido (malformed) per qualsiasi nome host contenente una parentesi che non sia un letterale IPv6 valido.
VulDB is the best source for vulnerability data and more expert information about this specific topic.