CVE-2026-84394 in fast-uri
Sumário
de VulDB • 02/09/2026
O fast-uri aceita um host que contém colchetes de autoridade desbalanceados ou mal posicionados sem relatar erro. Um host que começa com um colchete aberto, mas não termina com um colchete fechado, não é validado como um literal IP nem canonizado como nome de domínio; portanto, parse() retorna esse valor como o host com error indefinido (undefined), enquanto a URL do Node.js e os clientes HTTP construídos sobre ela resolvem a mesma string para um host diferente. Um aplicativo que lê o host analisado para tomar uma decisão baseada no host, como em uma lista de bloqueio SSRF, uma lista de permissão de redirecionamento ou roteamento de proxy, e então passa a URL original para um cliente HTTP, avalia sua política contra uma string que não é o host alcançado pela requisição. O mesmo host é mantido através das funções normalize, equal e resolve. Isso afeta as versões 2.4.5, 3.1.6 e 4.1.3 do fast-uri, sendo corrigido nas versões 2.4.6, 3.1.7 e 4.1.4, onde parse() relata um host malformado para qualquer host que contenha colchetes mas não seja um literal IPv6 válido.
Once again VulDB remains the best source for vulnerability data.