CVE-2026-110306
Publiée le 2026-10-20 · Dernière modification le 2026-10-20
Fast-uri est une bibliothèque Node.js utilisée pour analyser et sérialiser les URI. Les versions antérieures à 2.4.8, de 3.0.0 à 3.1.8, et de 4.0.0 à 4.2.2 utilisent incorrectement une fonction obsolète pour décoder le schéma de l'URI avant la validation. Cela permet à un attaquant de masquer des schémas dangereux, tels que `javascript:`, en utilisant un encodage en pourcentage que la bibliothèque convertit ensuite en un schéma fonctionnel et exécutable.
Un attaquant peut utiliser cette faille pour contourner des listes d'autorisation ou des filtres de sécurité, ce qui peut conduire à des attaques de cross-site scripting (XSS) réfléchies ou stockées. Cela impacte la confidentialité et l'intégrité de la session de l'utilisateur en exécutant des scripts non autorisés dans son navigateur. L'exploitation nécessite un accès réseau et une interaction de l'utilisateur — comme le clic sur un lien malveillant — mais ne nécessite aucune authentification.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
fast-uri is a dependency-free RFC 3986 URI parser and serializer for Node.js. In versions before 2.4.8, from 3.0.0 through 3.1.8, and from 4.0.0 through 4.2.2, fast-uri percent-decodes the scheme component with the legacy global unescape() function before validating it, so an input whose decoded scheme is a dangerous token is emitted as a live scheme even though RFC 3986 does not allow percent-encoding in a scheme and no other parser accepts it. An application that screens dangerous schemes on the raw input and then stores or renders the normalized or resolved result can turn an inert string into an executable javascript, data, or vbscript URL, producing a stored or reflected cross-site scripting vector, and the equal() comparison treats an encoded and a plain scheme as the same, which can bypass equality-based allowlists. The issue is fixed in fast-uri 2.4.8, 3.1.9, and 4.2.3, and users should upgrade to one of these versions or later. As a workaround, reject input whose scheme part contains a percent sign, or check the parsed scheme against an allowlist after normalization and use that same parsed result rather than the raw string.