CVE-2026-110095 in fast-uri
요약
\~에 의해 VulDB • 2026. 10. 20.
fast-uri는 Node.js용 의존성 없는 RFC 3986 URI 파서 및 직렬화 도구입니다. 버전 2.4.8 이전, 3.0.0부터 3.1.8까지, 그리고 4.0.0부터 4.2.2까지는 normalize() 및 serialize() 함수가 상대 경로 참조의 경로에 대해 RFC 3986 점 세그먼트 제거를 적용합니다. 그러나 해당 알고리즘은 해결 과정에서 병합된 대상 경로에만 정의되므로, 선행 상위 디렉토리 세그먼트가 삭제되고 문서-relative 참조가 루트-relative로 변경될 수 있습니다. 공격자가 제공하거나 사용자가 입력한 상대 참조를 정규화한 후 이를 해결하거나, 캐시, 중복 제거 또는 인증 키로 사용하는 애플리케이션의 경우 해당 참조가 의도된 디렉토리를 벗어나 다른 리소스를 가리킬 수 있습니다. 이 문제는 fast-uri 2.4.8, 3.1.9 및 4.2.3에서 수정되었으며, 사용자는 이러한 버전 중 하나로 업그레이드해야 합니다. 우회 방법으로, 정규화하기 전에 상대 참조를 절대 기준에 대해 먼저 해결한 후 절대 결과를 정규화하십시오.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.