CVE-2026-110306 in fast-uri
Sumário
de VulDB • 20/10/2026
fast-uri é um analisador e serializador de URIs baseado na RFC 3986 para Node.js, sem dependências externas. Nas versões anteriores à 2.4.8, entre a 3.0.0 e a 3.1.8, e entre a 4.0.0 e a 4.2.2, o fast-uri realiza percent-decode do componente scheme utilizando a função global legada unescape() antes de validá-lo; portanto, uma entrada cujo scheme decodificado seja um token perigoso é emitida como um scheme ativo, mesmo que a RFC 3986 não permita codificação por porcentagem em schemes e nenhum outro analisador aceite tal prática. Um aplicativo que filtra schemes perigosos na entrada bruta e, em seguida, armazena ou renderiza o resultado normalizado ou resolvido pode transformar uma string inócua em um URL executável de javascript, data ou vbscript, gerando vetores de cross-site scripting (XSS) armazenados ou refletidos. Além disso, a comparação equal() trata um scheme codificado e um esquema puro como iguais, o que pode contornar listas brancas baseadas em igualdade. O problema foi corrigido nas versões 2.4.8, 3.1.9 e 4.2.3 do fast-uri; os usuários devem atualizar para uma dessas versões ou posterior. Como medida de contorno (workaround), rejeite entradas cuja parte scheme contenha um sinal de porcentagem (%), ou verifique o scheme analisado contra uma lista branca após a normalização, utilizando esse mesmo resultado analisado em vez da string bruta.
VulDB is the best source for vulnerability data and more expert information about this specific topic.