CVE-2026-110725

fast-uri, Node.js üçün asılılıqlardan kənar RFC 3986 URI analizçisi və seriyallaşdırıcısıdır. 2.4.8-dən əvvəlki versiyalarda, 3.0.0-dan 3.1.8-ə qədər və 4.0.0-dan 4.2.2-yə qədər olan versiyalarda, authority hissəsi olmayan bir istinad üzərində serialize(), normalize() və ya resolve() funksiyaları standart olmayan reference seçimi suffix olaraq təyin edildikdə, yaranan nisbi istinadın ilk yol seqmenti escape edilmədən tək iki nöqtə (:) işarəsi ehtiva edə bilər. RFC 3986 bunu qadağan edir, çünki bu, sətirin sxemli mütləq URI kimi yenidən analiz edilməsinə səbəb olur. Suffix seçimi ilə nisbi istinadı seriyallaşdıran və ya normallaşdıran və daha sonra nəticəni URI kimi emal edən tətbiq, passiv girişi aktiv javascript, data və ya vbscript URL-nə çevirə bilər ki, bu da saytlararası skriptinq (XSS) vektorudur; həmçinin equal() müqayisəsi sxemli istinadı nisbi istinadla qarışdıra bilər. Risk yalnız standart olmayan suffix reference seçimindən istifadə edən tətbiqlərlə məhdudlaşır. Problem fast-uri 2.4.8, 3.1.9 və 4.2.3 versiyalarında düzəldilib və istifadəçilər bu versiyalara və ya daha yeni versiyalara keçid etməlidirlər. Müvəqqəti həll yolu kimi, etibarsız girişlər zamanı suffix reference seçimindən qaçın və ya nəticəni URI kimi emal etməzdən əvvəl ilk yol seqmentindəki iki nöqtə işarəsini faiz kodlaması (percent-encode) ilə şifrələyin.