CVE-2026-76172

fast-uri, Node.js için bir URI ayrıştırıcısıdır. Ayrıştırma sırasında scheme bileşeni üzerinde eski bir kod çözme geçişi çalıştırır ve sonucu hiçbir zaman yeniden kaçışlamaz; serileştirme ise scheme'i olduğu gibi geri yazar; oysa host bileşeni yeniden kaçışlanır. Bunun sonucunda, scheme'i yüzde kodlanmış eğik çizgiler içeren bir girdi, yetkisiz (authority) bir scheme olarak ayrıştırılır; böylece ayrıştırılan host ve hata değerlerinin ikisi de undefined olur; ancak aynı girdinin çözümlenmesi veya normalleştirilmesi, yetkisi saldırgan tarafından seçilen ve yeniden ayrıştırıldığında o host'a dönen bir ağ yolu referansı üretir. Ayrıştırılan host üzerinde izin listesi uygulayan veya yetkisiz bir referansı kendi tabanına göre çözümlemek için güvenli sayan bir uygulama, kontrol ettiğinin tam tersini elde eder; bu da site dışı yönlendirme, sunucu tarafı istek sahteciliği veya adres politikası atlatma ile sonuçlanır. Eski kod çözücü ayrıca standart dışı kaçış biçimlerini genişleterek sorunu üst akış filtrelerinin ötesine taşır ve scheme içindeki kontrol karakterleri çıktıya ham satır başı ve satır besleme olarak ulaşabilir. Etkilenen sürümler 2.3.1'den 2.4.5 hariç olmak üzere, 3.0.0'dan 3.1.6 hariç olmak üzere ve 4.0.0'dan 4.1.3 hariç olmak üzere sürümlerdir. Sorun, kod çözme sonrasında geçerli olmayan bir scheme'i reddeden 2.4.5, 3.1.6 ve 4.1.3 sürümlerinde düzeltilmiştir. Kullanıcılar yamalı bir sürüme yükseltmelidir.