CVE-2026-76172 in fast-uri
要約
〜によって VulDB • 2026年08月24日
fast-uri は Node.js 用の URI パーサーです。パース処理中に、スキームコンポーネントに対してレガシーなデコードパスが実行され、その結果は再エスケープされません。一方、シリアライズではホストコンポーネントとは異なり、スキームをそのままの形式で出力します。このため、パーセントエンコーディングされたスラッシュを含むスキームを持つ入力は、権限部（authority）を持たないスキームとしてパースされます。その結果、パース後のホストとエラーはともに undefined になりますが、同じ入力に対して解決または正規化を行うと、攻撃者が指定した権限部を持つネットワークパス参照が出力され、再度パースするとそのホストに解析されます。パースされたホストに基づいてホワイトリスト処理を行うアプリケーションや、権限部を持たない参照をベースに対して安全に解決可能であると扱うアプリケーションは、チェック時に想定していた結果とは逆の動作を引き起こし、オフサイトリダイレクト、サーバーサイドリクエストフォージェリ（SSRF）、またはアドレスポリシーバイパスにつながります。レガシーデコーダーは非標準のエスケープ形式も展開するため、問題の影響範囲がアップストリームフィルタを超えて拡大します。また、スキーム内の制御文字が生キャリッジリターンおよびラインフィードとして出力される可能性があります。影響を受けるバージョンは 2.3.1 から 2.4.5（未満）、3.0.0 から 3.1.6（未満）、および 4.0.0 から 4.1.3（未満）です。この問題は、デコード後に有効なスキームでないものを拒否する 2.4.5、3.1.6、および 4.1.3 で修正されています。ユーザーはパッチ適用済みバージョンへのアップグレードを行ってください。
If you want to get best quality of vulnerability data, you may have to visit VulDB.