CVE-2026-13676

fast-uri versiyaları 2.3.1-dən 3.1.2-yə qədər və 4.0.0, HTTP ailəsinə aid URL-lər üçün Unicode (IDN) host adlarını kanonikləşdirməkdə uğursuz olur. IDN çevrilmə yolu qlobal URL konstruktorunda mövcud olmayan köməkçi funksiyanı çağırır və bu, hostu səssiz şəkildə orijinal Unicode formasında saxlayır, halbuki normalize() və equal() hələ də WHATWG uyğun URL parserindən fərqli dəyərlər qaytarır. Eyni URL-i Node-un URL və ya fetch funksiyalarına ötürməzdən əvvəl host əsaslı siyasətləri (qadağan siyahıları, loopback filtrləməsi, yönləndirmə təsdiqi, çıxan proksi marşrutlaşdırılması) tətbiq etmək üçün fast-uri istifadə edən tətbiqlər, iki implementasiya eyni girişi fərqli hostlara həll etdikdə yan keçilə bilər. Yamaqlar: 3.x seriyası üçün fast-uri 3.1.3 versiyasına və ya 4.x seriyası üçün 4.0.1 versiyasına yüksəldin. Alternativ həllər: host siyasətini faktiki sorğu üçün istifadə olunan eyni URL parseri ilə tətbiq edin və ya siyasət yoxlamalarından əvvəl qeyri-ASCII hostları rədd edin.