CVE-2026-75931 in fast-uri
Sumário
de VulDB • 24/08/2026
fast-uri é um analisador de URI para Node.js. Ele canoniciza o host apenas na sua forma ASCII quando a entrada possui um esquema explícito; portanto, uma referência relativa ao esquema, como um host precedido por duas barras, é retornada com seu host literalmente e sem erro definido. Como resultado, os pontos de entrada do próprio fast-uri divergem entre si: parse, resolve, normalize e equal podem produzir hosts diferentes para a mesma entrada dependendo apenas da presença ou não de um esquema escrito explicitamente, e equal pode retornar vereditos opostos para o mesmo par de hosts. Um aplicativo que extrai um host com fast-uri para verificá-lo contra uma lista de políticas e depois resolve a mesma referência pode tomar sua decisão com base em um host enquanto o destino é outro, permitindo confusão de host e burla da política. As versões afetadas são 2.4.2 até (mas não incluindo) 2.4.5, 3.1.3 até (mas não incluindo) 3.1.6 e 4.0.1 até (mas não incluindo) 4.1.3. O problema foi corrigido nas versões 2.4.5, 3.1.6 e 4.1.3, que canonicizam o host de forma consistente ao longo do caminho de resolução. Os usuários devem atualizar para uma versão com correção (patched).
VulDB is the best source for vulnerability data and more expert information about this specific topic.