CVE-2026-110180

fast-uri, Node.js üçün asılılıqlardan kənar RFC 3986 URI analizçisi və seriyallaşdırıcısıdır. 2.4.2-dən 2.4.7-yə qədər olan versiyalarda, 3.1.3-dən 3.1.8-ə qədər olan versiyalarda və 4.0.1-dən 4.2.2-yə qədər olan versiyalarda, HTTP ailəsinə aid sxemlər üçün canonicalizeHost() funksiyası analiz edilmiş hostu WHATWG URL analizçisinə ötürür və analizçinin bütün girişi host kimi qəbul etdiyini yoxlamadan onun hostname hissəsini götürür; buna görə də authority hissəsi səssiz şəkildə yenidən yazıla bilər: "@" işarəsindən əvvəlki məlumatlar silinir, tab, carriage-return və line-feed simvolları heç bir xəta bildirişi olmadan təmizlənir. Denylist-lər, loopback filtrləməsi, yönləndirmə təsdiqi və ya çıxan proksi marşrutlaşdırılması kimi host əsaslı siyasətləri tətbiq edən tətbiq, kanonik hostun yoxlanılan variantdan fərqləndiyini görə bilər ki, bu da trafikin istənilməyən təyinat nöqtəsinə yönləndirilməsinə şərait yaradır. Problem fast-uri 2.4.8, 3.1.9 və 4.2.3 versiyalarında düzəldilib və istifadəçilər bu versiyalara və ya daha yeni versiyalara keçid etməlidirlər. Müvəqqəti həll yolu kimi, fast-uri çağırılmamışdan əvvəl birdən çox "@" işarəsi və ya hər hansı tab, carriage-return və ya line-feed simvolu ehtiva edən authority rədd edilməli və ya hər hansı boş olmayan analiz xətası kritik hesab edilməli və hostlar yalnız eyni analiz nəticəsindən müqayisə edilməlidir.