CVE-2026-76172

fast-uri Node.js üçün URI analizatorudur. Analiz zamanı o, sxem komponenti üzərində köhnəlmiş dekodlaşdırma mərhələsini həyata keçirir və nəticəni heç vaxt yenidən escape etmir; seriyallaşdırma isə, yenidən escape edilən host komponentindən fərqli olaraq, sxemi olduğu kimi geri yazır. Nəticədə, sxemi faizlə kodlanmış slash simvolları olan giriş, avtoriteti olmayan bir sxem kimi analiz edilir, beləliklə, analiz edilmiş host və xəta hər ikisi təyin olunmamış (undefined) olur, lakin həmin girişin həll edilməsi (resolving) və ya normallaşdırılması hücumçunun seçdiyi avtoritetə malik şəbəkə yolu istinadı yaradır və həmin hosta yenidən analiz edilir. Analiz edilmiş host əsasında ağ siyahı tətbiq edən və ya avtoriteti olmayan istinadı öz bazasına nisbətən həll etmək üçün təhlükəsiz hesab edən tətbiqlərdə yoxlama ilə ziddiyyət təşkil edən nəticə yaranır ki, bu da kənar sayta yönləndirməyə, server tərəfli sorğu saxtakarlığına (SSRF) və ya ünvan siyasətinin yan keçilməsinə səbəb olur. Köhnəlmiş dekoder həmçinin standart olmayan escape formalarını genişləndirir ki, bu da problemi üst filtrlərdən daha geniş edir, sxemdəki idarəetmə simvolları isə çıxışa xammal carriage return və line feed kimi çata bilir. Təsirə məruz qalan versiyalar 2.3.1-dən 2.4.5-ə qədər (2.4.5 daxil deyil), 3.0.0-dan 3.1.6-ya qədər (3.1.6 daxil deyil) və 4.0.0-dan 4.1.3-ə qədərdir (4.1.3 daxil deyil). Problem, dekodlaşdırmadan sonra etibarsız olan sxemi rədd edən 2.4.5, 3.1.6 və 4.1.3 versiyalarında düzəldilmişdir. İstifadəçilər yamalanmış versiyaya yüksəltmə etməlidirlər.