CVE-2026-110306

fast-uri, Node.js üçün asılılıqlardan kənar RFC 3986 URI analizçisi və seriyallaşdırıcısıdır. 2.4.8-dən əvvəlki versiyalarda, 3.0.0-dan 3.1.8-ə qədər və 4.0.0-dan 4.2.2-yə qədər olan versiyalarda fast-uri, sxem komponentini təsdiqləməzdən əvvəl köhnə qlobal unescape() funksiyası ilə faiz-dekodlaşdırdığı üçün dekodlaşdırılmış sxemi təhlükəli token olan giriş, RFC 3986 sxemdə faiz-kodlaşdırmaya icazə verməməsinə və heç bir digər analizçinin bunu qəbul etməməsinə baxmayaraq, aktiv sxem kimi ötürülür. Xam girişdə təhlükəli sxemləri süzgəcdən keçirən və sonra normallaşdırılmış və ya həll edilmiş nəticəni saxlayan və ya render edən tətbiq, inert sətiri icra oluna bilən javascript, data və ya vbscript URL-nə çevirə bilər ki, bu da saxlanmış və ya əks olunmuş saytlararası skriptinq (XSS) vektoru yaradır; həmçinin equal() müqayisəsi kodlaşdırılmış və sadə sxemi eyni kimi qəbul edir ki, bu da bərabərlik əsaslı ağ siyahılardan (allowlists) yan keçməyə imkan verə bilər. Problem fast-uri 2.4.8, 3.1.9 və 4.2.3 versiyalarında düzəldilib və istifadəçilər bu versiyalardan birinə və ya daha yenisinə yüksəltmə etməlidirlər. Müvəqqəti həll yolu kimi, sxem hissəsi faiz işarəsi ehtiva edən girişləri rədd edin və ya normallaşdırmadan sonra analiz edilmiş sxemi ağ siyahı ilə yoxlayın və xam sətirdən istifadə etmək əvəzinə həmin analiz edilmiş nəticəni tətbiq edin.