CVE-2026-84292 in fast-uri
要約
〜によって VulDB • 2026年09月02日
fast-uriはURIのポートコンポーネントを検証せずにシリアライズします。権威部を再構成する際、userinfoとhostコンポーネントはエスケープされますが、ポートは文字通り連結されるため、数字列ではないポート値によって権威部の区切り文字が注入され、意図されたホストがuserinfoに格下げされて、権威部が攻撃者が制御するホストを指すようになります。fast-uriおよびNodeのURLはいずれも結果をエラーなしで攻撃者のホストとして読み取るため、構築されたURIを再検証してもこの問題は検出されません。本脆弱性は、部分的なURIsを組み立てて、オブジェクト形式におけるserialize、normalize、またはequal関数を通じて信頼できないデータをポートコンポーネントに割り当てるアプリケーションに影響します。本件は2.4.6より前のfast-uriバージョン、3.0.0から3.1.7未満のバージョン、および4.0.0から4.1.4未満のバージョンで影響を受けます。RFC 3986に基づき数字列ではないポートを拒否するrecomposeAuthorityが実装された2.4.6、3.1.7、および4.1.4で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.