CVE-2026-110180

fast-uri, Node.js için bağımlılık gerektirmeyen bir RFC 3986 URI ayrıştırıcısı ve serileştiricisidir. 2.4.2 ile 2.4.7, 3.1.3 ile 3.1.8 ve 4.0.1 ile 4.2.2 arasındaki sürümlerde, HTTP ailesi şemaları için canonicalizeHost() fonksiyonu, ayrıştırılmış ana bilgisayarı WHATWG URL ayrıştırıcısına aktarır ve ayrıştırıcının tüm girdiyi bir ana bilgisayar olarak tükettiğini kontrol etmeden onun hostname değerini benimser; bu nedenle yetki alanı (authority) sessizce yeniden yazılabilir: @ işaretinden önceki veriler düşürülür ve sekme (tab), satır başı (carriage-return) ve satır besleme (line-feed) karakterleri herhangi bir hata raporlanmadan temizlenir. Engelleme listeleri, loopback filtreleme, yönlendirme doğrulaması veya giden proxy yönlendirmesi gibi ana bilgisayar tabanlı politikalar uygulayan bir uygulama, kanonik ana bilgisayarın kontrol edilen değerden saptığını görebilir ve bu durum trafiğin istenmeyen bir hedefe yönlendirilmesine izin verir. Sorun fast-uri 2.4.8, 3.1.9 ve 4.2.3 sürümlerinde düzeltilmiştir ve kullanıcıların bu sürümlerden birine veya daha güncel bir sürüme yükseltme yapmaları önerilir. Geçici bir çözüm olarak, fast-uri çağrılmadan önce birden fazla @ işareti içeren veya herhangi bir sekme, satır başı veya satır besleme karakteri barındıran yetki alanları reddedilmeli veya boş olmayan her türlü ayrıştırma hatası kritik kabul edilmeli ve ana bilgisayarlar yalnızca aynı ayrıştırma sonucundan karşılaştırılmalıdır.