CVE-2026-110725

fast-uri, Node.js için bağımlılık gerektirmeyen bir RFC 3986 URI ayrıştırıcısı ve serileştiricisidir. 2.4.8 öncesi sürümlerde, 3.0.0 ile 3.1.8 arasında ve 4.0.0 ile 4.2.2 arasında; yetkisi (authority) olmayan bir referans üzerinde serialize(), normalize() veya resolve() fonksiyonları varsayılan olmayan reference seçeneği suffix olarak ayarlandığında çağrıldığında, oluşturulan göreceli referansın ilk yol segmentinde kaçış karakteri kullanılmadan yalın bir iki nokta üst üste (:) işareti bulunabilir. RFC 3986, dizenin şemaya sahip mutlak bir URI olarak yeniden ayrıştırılmasına neden olduğu için buna izin vermemektedir. Suffix seçeneğiyle göreceli bir referansı serileştiren veya normalize eden ve ardından sonucu bir URI olarak değerlendiren bir uygulama; etkisiz girdileri canlı javascript, data veya vbscript URL'lerine dönüştürerek bir siteler arası betik çalıştırma (XSS) vektörü oluşturabilir ve equal() karşılaştırması şema içeren bir referansla göreceli olanı birbirine karıştırabilir. Risk, varsayılan olmayan suffix reference seçeneğini kullanan uygulamalarla sınırlıdır. Sorun fast-uri 2.4.8, 3.1.9 ve 4.2.3 sürümlerinde düzeltilmiştir ve kullanıcıların bu sürümlerden birine veya daha güncel bir sürüme yükseltme yapmaları önerilir. Geçici çözüm olarak, güvenilmeyen girdilerde suffix reference seçeneğinden kaçınılmalı veya sonuç bir URI olarak değerlendirilmeden önce ilk yol segmentindeki iki nokta üst üste işareti yüzde kodlamasıyla (percent-encode) şifrelenmelidir.