CVE-2026-84394 in fast-uri
Сводка
по VulDB • 02.09.2026
fast-uri принимает хост, содержащий несбалансированную или неправильно размещенную скобку в секции authority, без сообщения об ошибке. Хост, начинающийся с открывающей скобки, но не заканчивающийся закрывающей, ни проверяется как IP-литерал (IP literal), ни канонизируется как доменное имя; поэтому parse() возвращает его в качестве хоста со статусом ошибки undefined, тогда как встроенный в Node.js URL и HTTP-клиенты, построенные на его основе, разрешают ту же строку к другому хосту. Приложение, которое читает распознанный хост для принятия решения о хосте (например, для denylist SSRF, allowlist перенаправлений или маршрутизации прокси), а затем передает исходный URL HTTP-клиенту, оценивает свою политику против строки, которая не является тем хостом, к которому фактически отправляется запрос. Тот же самый хост передается через функции normalize, equal и resolve. Это затрагивает версии fast-uri 2.4.5, 3.1.6 и 4.1.3; проблема исправлена в версиях 2.4.6, 3.1.7 и 4.1.4, где parse() сообщает о malformed host для любого хоста, содержащего скобку, но не являющегося действительным IPv6 literal.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.