PT-2026-36919 · Npm · Fast-Uri

Kaka + 2 · Publicado 2026-05-04 · Atualizado 2026-06-04 · CVE-2026-6321

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas fast-uri versões anteriores a 3.1.1

Descrição As funções normalize() e equal() decodificam separadores de caminho e segmentos de ponto percentualmente codificados antes de aplicar a remoção de segmentos de ponto. Isso faz com que dados de caminho codificados sejam tratados como barras reais e referências a diretórios pai, permitindo que URIs distintas colapsem no mesmo caminho normalizado. Consequentemente, aplicações que utilizam essas funções para impor políticas baseadas em caminho em URLs controladas por atacantes podem ser burladas, pois um caminho que parece confinado sob um prefixo permitido pode ser normalizado para um local diferente.

Recomendações Atualize para a versão 3.1.1 ou posterior.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CLEANSTART-2026-BE61221

CLEANSTART-2026-LC05413

CVE-2026-6321

GHSA-Q3J6-QGPJ-74H6

OPENSUSE-SU-2026:10750-1

Produtos afetados

Fast-Uri

Referências · 219

• https://github.com/fastify/fast-uri/security/advisories/GHSA-q3j6-qgpj-74h6 · Aviso do Fabricante
• https://github.com/fastify/fast-uri · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-LC05413.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-BE61221.json · Nota
• https://osv.dev/vulnerability/ghsa-37qj-frw5-hhjh · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-39410 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-44459 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-2739 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-33916 · Nota de Segurança
• https://osv.dev/vulnerability/ghsa-26pp-8wgv-hjvm · Nota
• https://osv.dev/vulnerability/ghsa-w9j2-pvgh-6h63 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-29087 · Nota de Segurança
• https://osv.dev/vulnerability/ghsa-fj3w-jwp8-x2g3 · Nota
• https://osv.dev/vulnerability/GHSA-q3j6-qgpj-74h6 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-42033 · Nota