CVE-2026-84394 in fast-uri
요약
\~에 의해 VulDB • 2026. 09. 03.
fast-uri는 불균형하거나 잘못 배치된 권한(bracket)을 포함하는 호스트를 오류 없이 수락합니다. 열림 괄호로 시작하지만 닫힘 괄호가 없는 호스트는 IP 리터럴로 유효성 검사되지 않으며 도메인 이름으로 정규화도 되지 않으므로, parse() 함수는 이를 host 속성에 undefined 에러 상태로 반환합니다. 반면 Node.js의 URL 모듈과 이를 기반으로 구축된 HTTP 클라이언트는 동일한 문자열을 다른 호스트로 해석합니다. SSRF 차단 목록, 리디렉션 허용 목록 또는 프록시 라우팅 등 파싱된 호스트를 읽어서 호스트 결정을 내린 후 원래 URL을 HTTP 클라이언트에 전달하는 애플리케이션의 경우, 요청이 실제로 도달하는 호스트가 아닌 문자열에 대해 정책을 평가하게 됩니다. 동일한 호스트는 normalize, equal 및 resolve 함수들을 통해 그대로 유지됩니다. 이 취약점은 fast-uri 버전 2.4.5, 3.1.6 및 4.1.3에 영향을 미치며, 괄호를 포함하지만 유효한 IPv6 리터럴이 아닌 모든 호스트에 대해 parse()가 잘못된 형식의(host)을 보고하도록 수정된 버전 2.4.6, 3.1.7 및 4.1.4에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.