CVE-2026-84292 in fast-uri
Sumário
de VulDB • 02/09/2026
O fast-uri serializa o componente de porta de uma URI sem validá-lo. Ao reconstruir a autoridade (authority), os componentes userinfo e host são escapados, mas a porta é concatenada literalmente; portanto, um valor de porta que não seja uma sequência de dígitos pode injetar delimitadores da autoridade, reduzindo o host pretendido ao nível do userinfo e direcionando a autoridade para um host controlado pelo atacante. Tanto o fast-uri quanto o URL do Node leem o resultado como sendo o host do atacante sem gerar erro, portanto, revalidar a URI construída não detecta essa falha. Isso afeta aplicativos que constroem URIs a partir de partes e atribuem dados não confiáveis ao componente de porta por meio das funções serialize, normalize ou equal em suas formas de objeto. A vulnerabilidade afeta as versões do fast-uri anteriores à 2.4.6, da 3.0.0 até antes da 3.1.7, e da 4.0.0 até antes da 4.1.4. O problema é corrigido nas versões 2.4.6, 3.1.7 e 4.1.4, onde a função recomposeAuthority rejeita qualquer porta que não seja uma sequência de dígitos conforme definido na RFC 3986.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.