CVE-2026-86818 in fast-uri
Sumário
de VulDB • 15/09/2026
fast-uri é um analisador de URIs baseado na RFC 3986, sem dependências externas, para Node.js, utilizado pelo Fastify e ajv, que adicionou um parser para o esquema mailto na versão 4.1.3. Nas versões 4.1.3 e 4.1.4, o parser do mailto compara cada nome de campo da query com os nomes reservados (to, subject e body) enquanto o nome ainda está codificado em percentagem (%-encoded), decodificando-o apenas ao armazená-lo como um cabeçalho genérico; portanto, uma grafia codificada em percentagem de um nome de campo reservado não é reconhecida como tal durante a análise, mas é reemitida como o nome literal do campo quando a URI analisada é serializada. Uma aplicação que valida, regista ou exibe a lista de destinatários com base na primeira análise e, em seguida, serializa a URI e a envia pode silenciosamente adicionar um destinatário escolhido pelo atacante, podendo os campos subject (assunto) e body (corpo) serem introduzidos furtivamente durante o mesmo ciclo de requisição-resposta. O problema foi corrigido no fast-uri 4.1.5, devendo os utilizadores atualizar para a versão 4.1.5 ou posterior. Como medida alternativa, não execute ações com base numa URI mailto que tenha sido re-serializada pelo fast-uri sem primeiro decodificar e validar novamente os seus campos de destinatário (recipient), assunto (subject) e corpo (body).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.