fast-uri vulnerable to host confusion via percent-encoded authority delimiters
fast-uri normalize() decoded percent-encoded authority delimiters inside the host component and then re-emitted them as raw delimiters during serialization. A host that combined an allowed domain, an encoded at-sign, and a different domain was re-emitted with the at-sign as a raw userinfo separator, changing the URI's authority to the second domain. Applications that normalize untrusted URLs before host allowlist checks, redirect validation, or outbound request routing can be steered to a different authority than the input appeared to specify. Versions <= 3.1.1 are affected. Update to 3.1.2 or later.
- Yayın
- 5 May 2026
- Güncelleme
- 10 Eyl 2026
- EPSS
- %0,7 · 50. yüzdelik
- CWE
- CWE-436
Takip etmek için giriş yap · Takip ettiğin kayıt KEV’e girer, istismarı çıkar ya da güncellenirse bildirim alırsın.
Rapor araçları
Aksiyon skoru
30
İzleyin
Şimdilik düşük öncelik.
- CVSS
- 30 / 40 · 7.5 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 0 / 30 · %0,7
CISA SSVC kararı
- Sömürü
- yok
- Otomatikleştirilebilir
- evet
- Teknik etki
- kısmi
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- —
- CNA · openjs
- 7,5
- NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Etkilenen sistemler
| Üretici | Ürün | CPE |
|---|---|---|
| openjsf | fast-uri | cpe:2.3:a:openjsf:fast-uri |
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.
- openjsf fast-uri3.1.2 öncesi
Üreticinin bildirdiği sürümler
Kaydı açan otorite (openjs) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
fast-uri fast-uri
- 3.1.2etkilenmez
- 3.1.2 öncesietkilenir · semver
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Debian:12 | node-ajv | tüm sürümler | — |
| Debian:14 | node-ajv | 8.20.0~ds+~cs6.1.3-1 öncesi | 8.20.0~ds+~cs6.1.3-1 |
| npm | fast-uri | 3.0.0 itibarıyla · 3.1.2 öncesi | 3.1.2 |
| npm | fast-uri | 2.4.1 öncesi | 2.4.1 |
| Red Hat:ansible_automation_platform_developer:2.6::el9 | automation-controller | 0:4.7.13-2.el9ap öncesi | 0:4.7.13-2.el9ap |
| Red Hat:ansible_automation_platform_developer:2.6::el9 | automation-controller-cli | 0:4.7.13-2.el9ap öncesi | 0:4.7.13-2.el9ap |
| Red Hat:ansible_automation_platform_developer:2.6::el9 | python3.12-urllib3 | 0:2.7.0-1.el9ap öncesi | 0:2.7.0-1.el9ap |
| Red Hat:ansible_automation_platform:2.6::el9 | automation-controller-server | 0:4.7.13-2.el9ap öncesi | 0:4.7.13-2.el9ap |
| Red Hat:ansible_automation_platform:2.6::el9 | automation-controller-ui | 0:4.7.13-2.el9ap öncesi | 0:4.7.13-2.el9ap |
| Red Hat:ansible_automation_platform:2.6::el9 | automation-controller-venv-tower | 0:4.7.13-2.el9ap öncesi | 0:4.7.13-2.el9ap |
| Red Hat:ansible_automation_platform:2.6::el9 | automation-platform-ui | 0:2.6.10-1.el9ap öncesi | 0:2.6.10-1.el9ap |
| Red Hat:ansible_automation_platform:2.6::el9 | python3.12-pyjwt | 0:2.13.0-1.el9ap öncesi | 0:2.13.0-1.el9ap |
| Red Hat:ansible_automation_platform:2.6::el9 | python3.12-pyjwt+crypto | 0:2.13.0-1.el9ap öncesi | 0:2.13.0-1.el9ap |
| Red Hat:enterprise_linux:10.2 | rh-podman-desktop | 0:1.1.1-1.el10_2 öncesi | 0:1.1.1-1.el10_2 |
| Red Hat:hummingbird:1 | grafana13.1 | 0:13.1.3-0.3.hum1 öncesi | 0:13.1.3-0.3.hum1 |
Aynı üründe
openjsf: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2026-84394fast-uri vulnerable to host confusion via an unclosed bracket in the URI authority30İzleyin
- CVE-2026-84292fast-uri vulnerable to authority injection via an unvalidated port in serialize30İzleyin
- CVE-2026-76172fast-uri vulnerable to host confusion via percent-encoded scheme normalization30İzleyin
- CVE-2026-75975fast-uri vulnerable to server-side request forgery via malformed IPv6 normalization30İzleyin
- CVE-2026-75931fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references30İzleyin
- CVE-2026-75899fast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding30İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| fast-uri fast-uri | 3.1.2 | Üretici (CNA) |
| debian:node-ajv | 8.20.0~ds+~cs6.1.3-1 · Debian:14 | Paket deposu (OSV) |
| npm:fast-uri | 2.4.1 | Paket deposu (OSV) |
| npm:fast-uri | 3.1.2 | Paket deposu (OSV) |
| red hat:automation-controller | 0:4.7.13-2.el9ap · Red Hat:ansible_automation_platform_developer:2.6::el9 | Paket deposu (OSV) |
| red hat:automation-controller-cli | 0:4.7.13-2.el9ap · Red Hat:ansible_automation_platform_developer:2.6::el9 | Paket deposu (OSV) |
| red hat:automation-controller-server | 0:4.7.13-2.el9ap · Red Hat:ansible_automation_platform:2.6::el9 | Paket deposu (OSV) |
| red hat:automation-controller-ui | 0:4.7.13-2.el9ap · Red Hat:ansible_automation_platform:2.6::el9 | Paket deposu (OSV) |
| red hat:automation-controller-venv-tower | 0:4.7.13-2.el9ap · Red Hat:ansible_automation_platform:2.6::el9 | Paket deposu (OSV) |
| red hat:automation-platform-ui | 0:2.6.10-1.el9ap · Red Hat:ansible_automation_platform:2.6::el9 | Paket deposu (OSV) |
| red hat:grafana13.1 | 0:13.1.3-0.3.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| red hat:python3.12-pyjwt | 0:2.13.0-1.el9ap · Red Hat:ansible_automation_platform:2.6::el9 | Paket deposu (OSV) |
| red hat:python3.12-pyjwt+crypto | 0:2.13.0-1.el9ap · Red Hat:ansible_automation_platform:2.6::el9 | Paket deposu (OSV) |
| red hat:python3.12-urllib3 | 0:2.7.0-1.el9ap · Red Hat:ansible_automation_platform_developer:2.6::el9 | Paket deposu (OSV) |
| red hat:rh-podman-desktop | 0:1.1.1-1.el10_2 · Red Hat:enterprise_linux:10.2 | Paket deposu (OSV) |
İstismar durumu
Bilinen kamuya açık istismar yok
Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
Yayın dışında tarihli olay yok.
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Referanslarda commit ya da PR bağlantısı yok.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.
- Jvrbildiren
- Matteo Collinadüzeltme geliştirici
- KaKadüzeltme inceleyici
- Ulises Gascóndüzeltme geliştirici
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
- CVE-2026-1367655 gün araylafast-uri vulnerable to host confusion via failed IDN canonicalization30İzleyin
- CVE-2026-1622175 gün araylafast-uri vulnerable to host confusion via literal backslash authority delimiter30İzleyin
- CVE-2026-1844687 gün araylafast-uri vulnerable to host confusion via backslash authority introducer30İzleyin
- CVE-2026-75931111 gün araylafast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references30İzleyin
- CVE-2026-84394121 gün araylafast-uri vulnerable to host confusion via an unclosed bracket in the URI authority30İzleyin
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Bilinen herkese açık program yok.
Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yok
- Bütünlük
- yüksek · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- yok
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Yok
- Bütünlük etkisi
- Yüksek
- Erişilebilirlik etkisi
- Yok
Zayıflık sınıfı (CWE)
CWE-436 · Interpretation ConflictCVSS vektörü
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
nvd-secondary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Saldırı desenleri (CAPEC)
ATT&CK teknikleri
—
Noroxi analizi
Bu kayıt için henüz Noroxi analizi yok
385 binden fazla zafiyetin tamamına elle analiz yazmıyoruz; bu dürüst olmazdı. Öne çıkan ve sahada etkisi olan zafiyetler için mekanizma, tespit ve kapatma adımlarını ekibimiz yazıyor.
Bu ürünü kullanıyoruz, yardım isteyinDeğişiklik günlüğü
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
- cna.openjsf.org/security-advisories.html
- github.com/fastify/fast-uri/security/advisories/GHSA-v39h-62p7-jpjc
- access.redhat.com/errata/RHSA-2026:25271
- access.redhat.com/errata/RHSA-2026:25273
- access.redhat.com/errata/RHSA-2026:26225
- access.redhat.com/errata/RHSA-2026:26234
- access.redhat.com/errata/RHSA-2026:28571
- access.redhat.com/errata/RHSA-2026:29197
- access.redhat.com/errata/RHSA-2026:29795
- access.redhat.com/errata/RHSA-2026:29796
- access.redhat.com/errata/RHSA-2026:29800
- access.redhat.com/errata/RHSA-2026:29834
- access.redhat.com/errata/RHSA-2026:30076
- access.redhat.com/errata/RHSA-2026:33683
- access.redhat.com/errata/RHSA-2026:34160
- access.redhat.com/errata/RHSA-2026:34342
- access.redhat.com/errata/RHSA-2026:34374
- access.redhat.com/errata/RHSA-2026:34766
- access.redhat.com/errata/RHSA-2026:34770
- access.redhat.com/errata/RHSA-2026:36651
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.