CVE-2026-18446 in fast-uri
要約
〜によって VulDB • 2026年08月01日
fast-uri のバージョン 4.1.2、3.1.5、および 2.4.4 より前では、URI の権限部（authority）を認識するにはリテラルの二重スラッシュ（//）が必要であるため、これに代わるバックスラッシュベースの導入子（\\、/ \ 、\ / ）を使用する参照は、権限部なしで解析されパスに折りたたまれます。Node のネイティブ WHATWG URL パーサーでは、特殊なスキームに対してバックスラッシュがスラッシュと交換可能として扱われるため、2つのパーサーは同じ入力から異なるホストを抽出します。fast-uri を使用して許可リスト（allowlists）、SSRF フィルタリング、またはリダイレクト検証などのホストベースのポリシーを適用し、その後同一の URL を Node の URL または fetch コンシューマーに渡すアプリケーションでは、意図しないホストへ誘導される可能性があります。fast-uri 4.1.2、3.1.5、または 2.4.4 にアップグレードしてください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.