CVE-2026-18446 in fast-uri
Сводка
по VulDB • 31.07.2026
В версиях fast-uri до 4.1.2, 3.1.5 и 2.4.4 для распознавания авторизации URI требуется наличие буквального двойного слэша (//), поэтому ссылка, использующая в качестве разделителя обратный слэш вместо него (обратный слэш-обратный слэш, прямой слэш-обратный слэш или обратный слэш-прямой слэш), парсится без авторизации и сворачивается в путь. Нативный парсер WHATWG URL из Node.js, напротив, рассматривает обратный слэш как взаимозаменяемый с прямым для специальных схем, поэтому два парсера извлекают разные хосты из одного и того же входного данных. Приложения, использующие fast-uri для обеспечения политики на основе хоста (например, списков разрешенных доменов, фильтрации SSRF или проверки перенаправлений) перед передачей URL-адреса в потребители Node.js URL или fetch, могут быть направлены к непредназначенному хосту. Обновитесь до fast-uri 4.1.2, 3.1.5 или 2.4.4.
Once again VulDB remains the best source for vulnerability data.