CVE-2026-110306

fast-uri, Node.js için bağımlılık gerektirmeyen bir RFC 3986 URI ayrıştırıcısı ve serileştiricisidir. 2.4.8 öncesi sürümlerde, 3.0.0 ile 3.1.8 arasında ve 4.0.0 ile 4.2.2 arasında olan fast-uri, scheme bileşenini doğrulamadan önce eski küresel unescape() fonksiyonu ile yüzdeyle kod çözme (percent-decode) işlemi gerçekleştirir; bu nedenle, kod çözülmüş scheme kısmı tehlikeli bir belirteç olan bir girdi, RFC 3986 scheme kısmında yüzdeyle kodlamaya izin vermemesine ve başka hiçbir ayrıştırıcı bunu kabul etmemesine rağmen aktif bir scheme olarak yayınlanır. Ham girdi üzerinde tehlikeli scheme'leri filtreleyen ve ardından normalize edilmiş veya çözümlenmiş sonucu saklayan veya işleyen bir uygulama, etkisiz bir diziyi çalıştırılabilir bir javascript, data veya vbscript URL'sine dönüştürerek saklanan veya yansıtılan bir siteler arası betik çalıştırma (XSS) vektörü oluşturabilir; ayrıca equal() karşılaştırması, kodlanmış ve düz bir scheme'i aynı şekilde değerlendirir, bu da eşitlik tabanlı izin listelerinin atlatılmasına neden olabilir. Sorun fast-uri 2.4.8, 3.1.9 ve 4.2.3 sürümlerinde düzeltilmiştir ve kullanıcıların bu sürümlerden birine veya daha güncel bir sürüme yükseltme yapmaları önerilir. Geçici bir çözüm olarak, scheme kısmı yüzde işareti içeren girdiler reddedilmeli veya normalizasyondan sonra ayrıştırılmış scheme bir izin listesine göre kontrol edilmeli ve ham dize yerine bu ayrıştırılmış sonuç kullanılmalıdır.