PT-2026-53267 · Npm · Fast-Uri
Celinke97
+1
·
Publicado
2026-06-29
·
Atualizado
2026-06-29
·
CVE-2026-13676
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
fast-uri versões 2.3.1 até 3.1.2
fast-uri versão 4.0.0
Descrição
O software falha ao canonicalizar nomes de domínio internacionalizados (IDN) em Unicode para URLs da família HTTP. Isso ocorre porque o caminho de conversão IDN utiliza um auxiliar inexistente no construtor global de URL, fazendo com que o host permaneça em sua forma original em Unicode. Consequentemente, as funções
normalize() e equal() retornam valores que diferem de um analisador de URL compatível com WHATWG. Isso pode levar a uma confusão de host, permitindo que atacantes ignorem políticas baseadas em host, como listas de negação, filtragem de loopback, validação de redirecionamento ou roteamento de proxy de saída, quando a aplicação utiliza o fast-uri para validação, mas passa a URL para o URL do Node ou fetch para a requisição real.Recomendações
Atualize para a versão 3.1.3 para a linha 3.x.
Atualize para a versão 4.0.1 para a linha 4.x.
Aplique a política de host utilizando o mesmo analisador de URL usado para a requisição real.
Rejeite hosts não-ASCII antes de realizar as verificações de política.
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Fast-Uri