CVE-2026-110180

اسم البرنامج المصاب والإصدارات المتأثرة fast-uri الإصدارات 2.4.2 through 2.4.7 fast-uri الإصدارات 3.1.3 through 3.1.8 fast-uri الإصدارات 4.0.1 through 4.2.2

Description بالنسبة لمخططات عائلة HTTP، تقوم الدالة canonicalizeHost() بتمرير المضيف الذي تم تحليله إلى محلل URL WHATWG وتعتمد اسم المضيف الخاص به دون التحقق مما إذا كان المحلل قد استهلك الإدخال بالكامل كمضيف. يؤدي ذلك إلى إمكانية إعادة كتابة السلطة بصمت: حيث يتم إسقاط البيانات التي تسبق علامة (@) وحذف أحرف علامة التبويب وعودة العربة وتغذية السطر دون الإبلاغ عن خطأ. يمكن للتطبيقات التي تفرض سياسات قائمة على المضيف، مثل قوائم الحظر أو تصفية الحلقة المرتدة (loopback) أو التحقق من إعادة التوجيه أو توجيه الوكيل الخارجي، أن ترى أن المضيف القانوني يختلف عما تم التحقق منه، مما يسمح بتوجيه حركة المرور إلى وجهة غير مقصودة.

Recommendations تحديث الإصدارات 2.4.2 through 2.4.7 إلى 2.4.8 أو أحدث. تحديث الإصدارات 3.1.3 through 3.1.8 إلى 3.1.9 أو أحدث. تحديث الإصدارات 4.0.1 through 4.2.2 إلى 4.2.3 أو أحدث. كإجراء مؤقت، يتم رفض أي سلطة تحتوي على أكثر من علامة (@) واحدة أو أي أحرف تبويب أو عودة عربة أو تغذية سطر قبل استدعاء المكتبة، أو اعتبار أي خطأ تحليل غير فارغ خطأً فادحًا ومقارنة المضيفات فقط من نفس نتيجة التحليل.