CVE-2026-18446
Açıklama
fast-uri 4.1.2, 3.1.5 ve 2.4.4 öncesinde bir URI authority'sini tanımak için birebir çift eğik çizgi gerektirir; bu nedenle onun yerine ters eğik çizgi tabanlı bir başlatıcı kullanan (ters eğik çizgi ters eğik çizgi, eğik çizgi ters eğik çizgi veya ters eğik çizgi eğik çizgi) bir referans authority olmadan ayrıştırılır ve yolun içine katlanır. Node'un yerel WHATWG URL ayrıştırıcısı ise özel şemalar için ters eğik çizgiyi eğik çizgiyle değiştirilebilir olarak ele alır; bu nedenle iki ayrıştırıcı aynı girdiden farklı host'lar çıkarır. Aynı URL'yi Node'un URL veya fetch tüketicilerine geçirmeden önce allowlist'ler, SSRF filtreleme veya yönlendirme doğrulama gibi host tabanlı politikaları uygulamak için fast-uri kullanan uygulamalar amaçlanmayan bir host'a yönlendirilebilir. fast-uri 4.1.2, 3.1.5 veya 2.4.4 sürümüne yükseltin.
Nasıl düzeltilir
- openjsf fast-uri2.4.4, 3.1.5, 4.1.2 ya da sonraki bir sürüm
- fast-uri2.4.4, 3.1.5, 4.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openjsf fast-uri | v < 2.4.4, 3.0.0 ≤ v < 3.1.5, 4.0.0 ≤ v < 4.1.2 | 2.4.4, 3.1.5, 4.1.2 |
| fast-urinpm | v < 2.4.4, 3.0.0 ≤ v < 3.1.5, 4.0.0 ≤ v < 4.1.2 | 2.4.4, 3.1.5, 4.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.