FICHE CVE

CVE-2026-6322

Publiée le 2026-05-05 · Dernière modification le 2026-09-10

🇫🇷 EN BREF

Les applications utilisant la bibliothèque `fast-uri` (version 3.1.1 et versions antérieures) pour valider ou acheminer des URL sont sensibles à une erreur d'analyse (parsing) d'URI. Un attaquant distant non authentifié peut contourner les listes d'autorisation de domaines en utilisant des caractères encodés spécifiquement pour tromper le système et acheminer les requêtes vers un serveur malveillant plutôt que vers celui prévu. Cette faille est facile à exploiter car elle ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers, au-delà d'un simple accès réseau.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-436 CWE-140

Publiée2026-05-05

Dernière modification2026-09-10

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

fast-uri normalize() decoded percent-encoded authority delimiters inside the host component and then re-emitted them as raw delimiters during serialization. A host that combined an allowed domain, an encoded at-sign, and a different domain was re-emitted with the at-sign as a raw userinfo separator, changing the URI's authority to the second domain. Applications that normalize untrusted URLs before host allowlist checks, redirect validation, or outbound request routing can be steered to a different authority than the input appeared to specify. Versions <= 3.1.1 are affected. Update to 3.1.2 or later.