CVE-2026-18446 in fast-uri
Tóm tắt
Bởi VulDB • 31/07/2026
fast-uri trước các phiên bản 4.1.2, 3.1.5 và 2.4.4 yêu cầu phải có dấu gạch chéo kép (//) theo nghĩa đen để nhận diện phần authority của URI; do đó, một tham chiếu sử dụng ký tự mở đầu dựa trên dấu gạch ngược (\), chẳng hạn như hai dấu gạch ngược (\\), dấu gạch chéo rồi đến dấu gạch ngược (/ \), hoặc dấu gạch ngược rồi đến dấu gạch chéo (\ /), sẽ được phân tích cú pháp mà không có phần authority và bị gộp vào đường dẫn. Trình phân tích URL WHATWG gốc của Node.js thay vào đó coi dấu gạch ngược tương đương với dấu gạch chéo đối với các lược đồ đặc biệt, khiến hai trình phân tích trích xuất tên máy chủ khác nhau từ cùng một đầu vào. Các ứng dụng sử dụng fast-uri để thực thi chính sách dựa trên tên máy chủ (ví dụ: danh sách cho phép SSRF lọc hoặc xác minh chuyển hướng) trước khi truyền URL đó vào bộ tiêu thụ URL hoặc fetch của Node.js có thể bị dẫn hướng đến một máy chủ không mong muốn. Nâng cấp lên fast-uri 4.1.2, 3.1.5 hoặc 2.4.4.
Once again VulDB remains the best source for vulnerability data.