CVE-2026-110180

fast-uri to wolny od zależności parser i serializator URI RFC 3986 dla Node.js. W wersjach od 2.4.2 do 2.4.7, od 3.1.3 do 3.1.8 i od 4.0.1 do 4.2.2 w przypadku schematów z rodziny HTTP funkcja canonicalizeHost() przekazuje przeanalizowany host do parsera URL WHATWG i przyjmuje jego nazwę hosta bez sprawdzania, czy parser wykorzystał całe dane wejściowe jako host, więc uprawnienia można po cichu przepisać: dane przed znak at jest usuwany, a znaki tabulatora, powrotu karetki i nowego wiersza są usuwane bez zgłaszania żadnego błędu. Aplikacja, która wymusza zasady oparte na hostach, takie jak listy odrzuconych, filtrowanie pętli zwrotnej, sprawdzanie poprawności przekierowań lub routing wychodzący proxy w jednej reprezentacji, może następnie wykryć, że host kanoniczny różni się od tego, co sprawdził, umożliwiając kierowanie ruchu do niezamierzonego miejsca docelowego. Problem został rozwiązany w fast-uri 2.4.8, 3.1.9 i 4.2.3, a użytkownicy powinni dokonać aktualizacji do jednej z tych wersji lub nowszej. Aby obejść ten problem, odrzuć uprawnienia zawierające więcej niż jeden znak at lub jakikolwiek tabulator, powrót karetki lub znak nowego wiersza przed wywołaniem fast-uri lub traktuj każdy niepusty błąd analizy jako krytyczny i porównuj hosty tylko na podstawie tego samego wyniku analizy.