CVE-2026-86818

fast-uri to wolny od zależności parser URI RFC 3986 dla Node.js, używany przez Fastify i ajv, który dodał parser schematu mailto w wersji 4.1.3. W wersjach 4.1.3 i 4.1.4 parser mailto porównuje każdą nazwę pola zapytania z zarezerwowanymi nazwami, tematem i treścią, gdy nazwa jest nadal zakodowana procentowo, i dekoduje ją tylko podczas przechowywania jako ogólnego nagłówka, więc zakodowana procentowo pisownia nazwy zarezerwowanego pola nie jest rozpoznawana jako to pole podczas analizy, ale jest ponownie emitowana jako dosłowna nazwa pola podczas serializacji analizowanego identyfikatora URI. Aplikacja, która sprawdza, rejestruje lub wyświetla listę odbiorców z pierwszej analizy, a następnie serializuje identyfikator URI i wysyła go, może po cichu pozyskać odbiorcę wybranego przez osobę atakującą, a pola tematu i treści mogą zostać przemycone w ramach tej samej operacji w obie strony. Problem został rozwiązany w wersji fast-uri 4.1.5 i użytkownicy powinni dokonać aktualizacji do wersji 4.1.5 lub nowszej. W ramach obejścia nie wykonuj działań na adresie URI mailto, który fast-uri ponownie serializował bez uprzedniego zdekodowania i ponownego sprawdzenia poprawności pól odbiorcy, tematu i treści.