CVE-2026-110180
Publiée le 2026-10-20 · Dernière modification le 2026-10-20
`fast-uri` est une bibliothèque Node.js utilisée pour analyser et sérialiser les URI. Les versions 2.4.2–2.4.7, 3.1.3–3.1.8 et 4.0.1–4.2.2 contiennent une faille dans le processus de canonicalisation de l'hôte. La bibliothèque ne vérifie pas si l'analyseur d'URL WHATWG a consommé l'intégralité de l'entrée, ce qui permet à certains caractères — comme les tabulations ou des données avant un symbole "@" — d'être supprimés ou ignorés silencieusement.
Un attaquant peut utiliser cela pour contourner des filtres de sécurité, tels que des listes d'exclusion d'hôtes ou des validations de redirection, en fournissant une URI spécialement conçue qui semble sûre pour le filtre mais qui aboutit à une destination différente. Cela pourrait entraîner des fuites de données non autorisées ou des problèmes d'intégrité en dirigeant le trafic vers un serveur non prévu. L'exploitation est possible via le réseau sans authentification, bien qu'elle nécessite une configuration complexe et une logique d'application spécifique pour réussir.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
fast-uri is a dependency-free RFC 3986 URI parser and serializer for Node.js. In versions from 2.4.2 through 2.4.7, from 3.1.3 through 3.1.8, and from 4.0.1 through 4.2.2, for HTTP-family schemes the canonicalizeHost() function passes the parsed host to the WHATWG URL parser and adopts its hostname without checking that the parser consumed the entire input as a host, so the authority can be silently rewritten: data before an at-sign is dropped and tab, carriage-return, and line-feed characters are stripped, with no error reported. An application that enforces host-based policy such as denylists, loopback filtering, redirect validation, or outbound proxy routing on one representation can then see the canonical host diverge from what it checked, allowing traffic to be steered to an unintended destination. The issue is fixed in fast-uri 2.4.8, 3.1.9, and 4.2.3, and users should upgrade to one of these versions or later. As a workaround, reject an authority that contains more than one at-sign or any tab, carriage-return, or line-feed before calling fast-uri, or treat any non-empty parse error as fatal and compare hosts only from the same parse result.