PT-2026-53267
CVE-2026-13676
·
تاريخ النشر
2026-06-29
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات fast-uri من 2.3.1 إلى 3.1.2
إصدار fast-uri 4.0.0
الوصف
يفشل البرنامج في توحيد أسماء النطاقات الدولية (IDN) المكتوبة بـ Unicode لعناوين URL التابعة لعائلة HTTP. يحدث هذا لأن مسار تحويل IDN يستخدم مساعدًا غير موجود في مُنشئ عناوين URL العالمية، مما يتسبب في بقاء المضيف في شكله الأصلي المكتوب بـ Unicode. ونتيجة لذلك، تُرجع الدالتان
normalize() وequal() قيمًا تختلف عن تلك التي يُرجعها محلل عناوين URL المتوافق مع WHATWG. وقد يؤدي ذلك إلى حدوث خلط في المضيف، مما يسمح للمهاجمين بتجاوز السياسات القائمة على المضيف مثل قوائم الحظر، أو تصفية الارتداد (loopback filtering)، أو التحقق من صحة إعادة التوجيه، أو توجيه البروكسي الصادر عندما يستخدم التطبيق fast-uri للتحقق من الصحة ولكنه يمرر عنوان URL إلى Node's URL أو fetch للطلب الفعلي.التوصيات
الترقية إلى الإصدار 3.1.3 لسلسلة الإصدارات 3.x.
الترقية إلى الإصدار 4.0.1 لسلسلة الإصدارات 4.x.
فرض سياسة المضيف باستخدام نفس محلل عناوين URL المستخدم للطلب الفعلي.
رفض المضيفات غير ASCII قبل إجراء فحوصات السياسة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾