CVE-2026-110095

fast-uri, Node.js üçün asılılıqlardan kənar RFC 3986 URI analizatoru və seriyallaşdırıcısıdır. 2.4.8-dən əvvəlki versiyalarda, 3.0.0-dan 3.1.8-ə qədər və 4.0.0-dan 4.2.2-yə qədər olan versiyalarda normalize() və serialize() funksiyaları nisbi yol istinadının yoluna RFC 3986 nöqtə seqmentinin silinməsini tətbiq edir; halbuki bu alqoritm yalnız həll zamanı birləşdirilmiş hədəf yolu üçün təyin edilmişdir, buna görə də başlanğıcdakı valideyn kataloq seqmenti silinə bilər və sənədə nisbətən istinad kökə nisbətən istinada çevrilə bilər. Hücumçu və ya istifadəçi tərəfindən təmin edilən nisbi istinadı normallaşdıran və sonra onu həll edən və ya ondan keş, dublikatların aradan qaldırılması və ya avtorizasiya açarı kimi istifadə edən tətbiqdə istinad nəzərdə tutulan kataloqundan çıxa və fərqli resursa yönələ bilər. Problem fast-uri 2.4.8, 3.1.9 və 4.2.3 versiyalarında düzəldilib və istifadəçilər bu versiyalara və ya daha yenilərinə yüksəltmə etməlidirlər. Alternativ həll yolu kimi, nisbi istinadı əvvəlcə onun mütləq bazasına qarşı həll edin və istinadı öncədən normallaşdırmaq əvəzinə, mütləq nəticəni normallaşdırın.