CVE-2026-75899

fast-uri Node.js üçün URI analizatorudur. O, analiz zamanı hostname-dəki faiz əsaslı kodlaşdırmaları (percent escapes) dekod edir və daha sonra authority yenidən qurulması zamanı analiz edilmiş hostname-i ikinci dəfə dekod edir. Beləliklə, normalize və ya resolve funksiyasına edilən tək bir çağırış, iç-içə faiz kodlu girişi loopback hostname və ya ünvanı kimi fərqli şəbəkə təyinatına çevirə bilər. Məsələn, loopback adını ifadə edən ikiqat kodlanmış host bir əməliyyatla həmin aktiv hosta dekod olunur ki, bu da RFC 3986 bölmə 2.4-ün tətbiqin eyni sətiri birdən çox dəfə dekod etməməli olduğu tələbinə ziddir. Xaricə yönləndirmə, redirect validasiyası və ya host-siyasəti yoxlamasından əvvəl etibarsız HTTP ailəsinə aid URI-ni normallaşdıran və ya həll edən tətbiq, orijinal kodlanmış hostun təmsil etdiyindən fərqli bir təyinat ala bilər ki, bu da server-side request forgery (SSRF) və host-siyasətinin yan keçilməsi imkanı yaradır. Bu, CVE-2026-6322-nin natamam düzəldilmiş variantıdır. Təsirə məruz qalan versiyalar 2.4.1-dən 2.4.5-ə qədər (2.4.5 daxil olmaqla), 3.1.2-dən 3.1.6-ya qədər (3.1.6 daxil olmaqla) və 4.0.0-dan 4.1.3-ə qədərdir (4.1.3 daxil olmaqla). Problem, faiz əsaslı kodlaşdırmaları bir dəfə normallaşdıran və kodlanmış faiz işarələrini saxlayan 2.4.5, 3.1.6 və 4.1.3 versiyalarında düzəldilib. İstifadəçilər yamalanmış versiyaya yüksəltmə etməlidirlər.