CVE-2026-84292 in fast-uri
요약
\~에 의해 VulDB • 2026. 09. 02.
fast-uri는 URI의 포트 구성 요소를 검증하지 않고 직렬화합니다. 권한(authority)을 재구성할 때 userinfo 및 host 구성 요소는 이스케이프 처리되지만, 포트는 그대로 연결(concatenated)됩니다. 따라서 숫자 시퀀스가 아닌 포트 값이 권한 구분자를 주입하여 의도된 호스트를 userinfo로 격하하고 authority를 공격자가 제어하는 호스트로 향하게 할 수 있습니다. fast-uri와 Node의 URL은 모두 결과를 공격자의 호스트로서 에러 없이 읽으므로, 빌드된 URI를 다시 검증해도 이를 감지하지 못합니다. 이 문제는 부분적으로 URI를 구성하고 객체 형태의 serialize, normalize 또는 equal 함수를 통해 신뢰할 수 없는 데이터를 포트 구성 요소에 할당하는 애플리케이션에 영향을 미칩니다. 본 이슈는 2.4.6 이전의 fast-uri 버전, 3.0.0 이상에서 3.1.7 미만 버전, 그리고 4.0.0 이상에서 4.1.4 미만 버전에 영향을 미칩니다. RFC 3986에 따라 숫자 시퀀스가 아닌 포트를 거부하는 recomposeAuthority가 포함된 2.4.6, 3.1.7 및 4.1.4에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.