CVE-2026-75975

fast-uri Node.js üçün URI analizatorudur. Onun mötərizədaxili IPv6 literalları üçün xüsusi analizatoru tam IPv6 qrammatikasını yoxlamır, buna görə də authority hissəsindəki yanlış son mətnlər səssizcə silinə bilər və hücumçu tərəfindən idarə olunan yanlış host fərqli bir düzgün IPv6 təyinat nöqtəsinə çevrilir. Məsələn, yanlış son simvollar olan mötərizədaxili literal "unspecified" ünvanına normallaşdırılır ki, bu zaman Node HTTP kliyenti loopback vasitəsilə yerli xidmətə qoşulur, digər yanlış literallar isə şəxsi diapazonlu ünvanlara çevrilir. Analiz nəticəsində heç bir xəta təyin edilmir, buna görə də xəta sahəsini yoxlayan tətbiq yenidən yazılmanı aşkar edə bilmir. Çıxan sorğular, yönləndirmələr, proksi marşrutlaşdırması və ya ünvan siyasətinin tətbiqindən əvvəl etibarsız URL-ləri normallaşdıran tətbiq yerli və ya şəxsi IPv6 hədəfinə yönləndirilə bilər ki, bu da server-side request forgery (SSRF) və ünvan siyasətindən yan keçmə imkanı yaradır. Təsirə məruz qalan versiyalar 2.3.1-dən 2.4.5-ə qədər (2.4.5 daxil deyil), 3.0.0-dan 3.1.6-ya qədər (3.1.6 daxil deyil) və 4.0.0-dan 4.1.3-ə qədərdir (4.1.3 daxil deyil). Problem, mötərizədaxili IP literallarını tam qrammatikaya uyğun yoxlayan və yanlış literalları authority xətaları kimi qeyd edən 2.4.5, 3.1.6 və 4.1.3 versiyalarında düzəldilmişdir. İstifadəçilər yamalı versiyaya yüksəltmə etməlidirlər.