CVE-2026-110306 in fast-uri
Сводка
по VulDB • 20.10.2026
fast-uri — это парсер и сериализатор URI в соответствии со стандартом RFC 3986 для Node.js без внешних зависимостей. В версиях до 2.4.8, от 3.0.0 до 3.1.8 включительно и от 4.0.0 до 4.2.2 включительно fast-uri выполняет percent-decode компонента схемы с использованием устаревшей глобальной функции unescape() перед ее валидацией; поэтому входные данные, декодированная схема которых содержит опасный токен, выводятся как действительная схема, хотя RFC 3986 не допускает процентного кодирования в схеме и ни один другой парсер это не поддерживает. Приложение, которое фильтрует опасные схемы по исходному вводу, а затем сохраняет или отображает нормализованный или разрешенный результат, может превратить безобидную строку в исполняемый URL-адрес javascript, data или vbscript, создавая вектор межсайтового скриптинга (XSS) типа stored или reflected; кроме того, сравнение с помощью equal() считает закодированную и обычную схемы одинаковыми, что позволяет обойти списки разрешенных значений на основе равенства. Проблема исправлена в fast-uri 2.4.8, 3.1.9 и 4.2.3; пользователям следует обновиться до одной из этих версий или более поздних. В качестве временного решения необходимо отклонять входные данные, часть схемы которых содержит знак процента (%), либо проверять распарсенную схему против allowlist после нормализации и использовать этот же распарсенный результат вместо исходной строки.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.