CVE-2026-86472

fast-uri to wolny od zależności parser URI RFC 3986 dla Node.js, używany przez Fastify i ajv. W wersjach wcześniejszych niż 2.4.7, od 3.0.0 do 3.1.7 i od 4.0.0 do 4.1.4, fast-uri składa host na małe litery, zanim zdekoduje hosta procentowo, więc oktet zakodowany procentowo wielkimi literami, taki jak %41, dekoduje do dosłownego A, które nigdy nie jest składane. W przypadku odniesienia związanego ze schematem, takiego jak //host, nie ma schematu, więc kanonizacja hosta, która normalnie naprawiłaby ten problem, nie działa, a następnie analizuje, normalizuje i równa, a następnie nie zgadza się na tym samym hoście. Aplikację, która podejmuje decyzję o hoście z uwzględnieniem wielkości liter na wyjściu szybkiego uri, na przykład lista dozwolonych lub lista odrzuconych hostów, która porównuje przeanalizowany host lub używa równości, można pominąć weryfikację za pomocą oktetu z wielkimi literami zakodowanego procentowo, a ponieważ w nazwach hostów w DNS i HTTP nie jest rozróżniana wielkość liter, pisownia z obejściem nadal dociera do hosta, który ma zostać sprawdzony. Problem został rozwiązany w fast-uri 2.4.7, 3.1.8 i 4.1.5, a użytkownicy powinni dokonać aktualizacji do jednej z tych wersji lub nowszej. Aby obejść ten problem, porównaj hosty bez uwzględniania wielkości liter, pisząc analizowane hosty małymi literami przed podjęciem decyzji o liście dozwolonych lub listach odrzuconych.