CVE-2026-75899

fast-uri, Node.js için bir URI ayrıştırıcısıdır. Ayrıştırma sırasında bir hostname içindeki yüzde kaçışlarını çözer ve ardından yetki yeniden oluşturma sırasında ayrıştırılmış hostname'i ikinci kez çözer; bu nedenle tek bir normalize veya resolve çağrısı, iç içe geçmiş yüzdeyle kodlanmış girdiyi döngüsel (loopback) bir hostname veya adres gibi farklı bir ağ hedefine dönüştürebilir. Örneğin, döngüsel bir isim belirten çift kodlanmış bir host, tek bir işlemde canlı hosta çözümlenir; bu durum, bir uygulamanın aynı dizgeyi birden fazla kez çözmemesi gerektiğini belirten RFC 3986 bölüm 2.4 ile çelişmektedir. Giden yönlendirme, yönlendirme doğrulaması veya bir host politikası kontrolünden önce güvenilmeyen bir HTTP ailesi URI'sini normalize eden veya çözümleyen bir uygulama, orijinal kodlanmış hostun temsil ettiğinden farklı bir hedef alabilir; bu da sunucu taraflı istek sahteciliği (SSRF) ve host politikası atlatma imkanı sağlar. Bu, CVE-2026-6322'nin eksik düzeltilmiş bir varyantıdır. Etkilenen sürümler 2.4.1'den 2.4.5'e kadar (dahil değil), 3.1.2'den 3.1.6'ya kadar (dahil değil) ve 4.0.0'dan 4.1.3'e kadar olanlardır (dahil değil). Sorun, yüzde kaçışlarını bir kez normalize eden ve kodlanmış yüzde işaretlerini koruyan 2.4.5, 3.1.6 ve 4.1.3 sürümlerinde düzeltilmiştir. Kullanıcıların yamalanmış bir sürüme yükseltme yapmaları önerilir.