CVE-2026-18446 in fast-uri
Sumário
de VulDB • 31/07/2026
As versões do fast-uri anteriores à 4.1.2, 3.1.5 e 2.4.4 exigem uma barra dupla literal para reconhecer a autoridade de um URI; portanto, uma referência que utiliza um iniciador baseado em barra invertida no lugar dela (barra invertida-barra invertida, barra forward-slash-barra invertida ou barra invertida-barra forward-slash) é analisada sem autoridade e incorporada ao caminho. O parser WHATWG URL nativo do Node trata a barra invertida como intercambiável com a barra forward-slash para esquemas especiais, fazendo com que os dois parsers extraiam hosts diferentes da mesma entrada. Aplicações que utilizam o fast-uri para impor políticas baseadas em host, como listas de permissão (allowlists), filtragem SSRF ou validação de redirecionamento antes de passar a mesma URL para consumidores do Node's URL ou fetch, podem ser direcionadas para um host não pretendido. Atualize para o fast-uri 4.1.2, 3.1.5 ou 2.4.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.