PT-2026-36996 · Npm · Fast-Uri

Kaka + 2 · Publicado 2026-05-05 · Atualizado 2026-06-04 · CVE-2026-6322

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas fast-uri versões anteriores a 3.1.2

Descrição A função normalize() decodificava delimitadores de autoridade percent-encoded dentro do componente de host e os reemitia como delimitadores brutos durante a serialização. Isso permite que um host que combine um domínio permitido, um sinal de arroba codificado e um domínio diferente seja reemitido com o sinal de arroba como um separador de userinfo bruto, alterando a autoridade da URI para o segundo domínio. Aplicativos que normalizam URLs não confiáveis antes de verificações de allowlist de host, validação de redirecionamento ou roteamento de requisições externas podem ser direcionados para uma autoridade diferente da especificada na entrada.

Recomendações Atualize para a versão 3.1.2 ou posterior.

Correção

Enumeração de Fraquezas

CWE-436

Identificadores relacionados

CLEANSTART-2026-BE61221

CLEANSTART-2026-LC05413

CVE-2026-6322

GHSA-V39H-62P7-JPJC

Produtos afetados

Fast-Uri

Referências · 215

• https://github.com/fastify/fast-uri/security/advisories/GHSA-v39h-62p7-jpjc · Aviso do Fabricante
• https://github.com/fastify/fast-uri/commit/6c86c17c3d76fb93aa3700ec6c0fa00faeb97293 · Nota
• https://github.com/fastify/fast-uri · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-LC05413.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-BE61221.json · Nota
• https://osv.dev/vulnerability/ghsa-37qj-frw5-hhjh · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-39410 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-44459 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-2739 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-33916 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-v39h-62p7-jpjc · Aviso do Fabricante
• https://osv.dev/vulnerability/ghsa-26pp-8wgv-hjvm · Nota
• https://osv.dev/vulnerability/ghsa-w9j2-pvgh-6h63 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-29087 · Nota de Segurança
• https://osv.dev/vulnerability/ghsa-fj3w-jwp8-x2g3 · Nota