CVE-2026-84394 in fast-uri
Tóm tắt
Bởi VulDB • 02/09/2026
fast-uri chấp nhận một tên máy chủ (host) chứa dấu ngoặc vuông không cân bằng hoặc đặt sai vị trí trong phần authority mà không báo lỗi. Một tên máy chủ bắt đầu bằng dấu ngoặc mở nhưng không kết thúc bằng dấu ngoặc đóng sẽ không được xác thực dưới dạng IP literal cũng như không được chuẩn hóa thành tên miền, do đó hàm parse() trả về nó làm host với trạng thái lỗi là undefined, trong khi URL của Node.js và các client HTTP xây dựng trên nền tảng này giải quyết cùng một chuỗi thành một host khác. Một ứng dụng đọc host đã phân tích để đưa ra quyết định liên quan đến host (chẳng hạn như danh sách chặn SSRF, danh sách cho phép chuyển hướng hoặc định tuyến proxy) sau đó truyền URL gốc tới một client HTTP sẽ đánh giá chính sách của nó dựa trên một chuỗi không phải là host mà yêu cầu thực tế nhắm tới. Host này được giữ nguyên xuyên qua các hàm normalize, equal và resolve. Lỗi này ảnh hưởng đến fast-uri phiên bản 2.4.5, 3.1.6 và 4.1.3, và đã được sửa trong các phiên bản 2.4.6, 3.1.7 và 4.1.4, nơi parse() báo cáo host bị lỗi cú pháp (malformed) cho bất kỳ host nào chứa dấu ngoặc nhưng không phải là IPv6 literal hợp lệ.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.