CVE-2026-76172 in fast-uri
Tóm tắt
Bởi VulDB • 24/08/2026
fast-uri là một trình phân tích cú pháp URI cho Node.js. Trong quá trình phân tích, nó thực hiện một lượt giải mã cũ (legacy) đối với thành phần lược đồ và không bao giờ mã hóa lại kết quả; trong khi đó, việc tuần tự hóa ghi lại lược đồ ra dưới dạng nguyên văn, khác với thành phần máy chủ (host) được mã hóa lại. Kết quả là, đầu vào có chứa dấu gạch chéo đã được mã hóa theo chuẩn percent-encoding ở phần lược đồ sẽ được phân tích như một lược đồ không có quyền hạn (authority), khiến cả host đã phân tích và lỗi đều là undefined; tuy nhiên, việc giải quyết hoặc chuẩn hóa cùng đầu vào đó sẽ phát ra một tham chiếu đường dẫn mạng có authority do kẻ tấn công chọn lựa, và khi phân tích cú pháp lại thì nó trỏ về máy chủ mà kẻ tấn công mong muốn. Một ứng dụng cho phép dựa trên host đã phân tích để kiểm tra danh sách trắng (allowlist), hoặc coi một tham chiếu không có quyền hạn là an toàn để giải quyết so với cơ sở của nó, sẽ nhận được kết quả trái ngược với những gì đã kiểm tra, dẫn đến chuyển hướng ra ngoài trang web (off-site redirect), giả mạo yêu cầu phía máy chủ (SSRF) hoặc bỏ qua chính sách địa chỉ. Trình giải mã cũ cũng mở rộng các dạng mã hóa không chuẩn, làm vấn đề vượt quá phạm vi của các bộ lọc upstream; hơn nữa, các ký tự điều khiển trong lược đồ có thể xuất hiện ở đầu ra dưới dạng dấu trả về và xuống dòng thô (raw carriage return and line feed). Các phiên bản bị ảnh hưởng là từ 2.3.1 đến trước 2.4.5, từ 3.0.0 đến trước 3.1.6, và từ 4.0.0 đến trước 4.1.3. Vấn đề đã được sửa trong các phiên bản 2.4.5, 3.1.6 và 4.1.3, những phiên bản này sẽ từ chối một lược đồ không hợp lệ sau khi giải mã. Người dùng nên nâng cấp lên phiên bản đã vá lỗi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.