CVE-2026-86472 in fast-uri
Sumário
de VulDB • 15/09/2026
fast-uri é um analisador de URI baseado na RFC 3986 e sem dependências para Node.js, utilizado pelo Fastify e ajv. Nas versões anteriores à 2.4.7, da 3.0.0 até a 3.1.7 e da 4.0.0 até a 4.1.4, o fast-uri converte o host para minúsculas antes de realizar a decodificação percentual do mesmo; portanto, um octeto maiúsculo codificado em porcentagem, como %41, é decodorado na letra literal 'A', que nunca é convertida para minúsculas. Para uma referência relativa ao esquema (scheme-relative), como //host, não há esquema definido, de modo que a canonização do host — que normalmente corrigiria essa inconsistência — não é executada. Consequentemente, as funções parse, normalize e equal discordam sobre o mesmo host. Um aplicativo que toma decisões sensíveis à caixa (case-sensitive) com base na saída do fast-uri, como uma lista de permissões ou bloqueio de hosts que compara o host analisado ou utiliza a função equal, pode ser contornado usando um octeto maiúsculo codificado em porcentagem. Como os nomes de domínio são insensíveis à caixa no DNS e no HTTP, a grafia evasiva ainda alcança o destino ao qual a verificação deveria restringir o acesso. O problema foi corrigido nas versões 2.4.7, 3.1.8 e 4.1.5 do fast-uri; os usuários devem atualizar para uma dessas versões ou posterior. Como solução alternativa, compare hosts de forma insensível à caixa convertendo o host analisado para minúsculas antes de qualquer decisão baseada em lista de permissões ou bloqueio.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.