CVE-2026-75899

إصدارات fast-uri من 2.4.1 إلى 2.4.4

إصدارات fast-uri من 3.1.2 إلى 3.1.5

إصدارات fast-uri من 4.0.0 إلى 4.1.2

يقوم محلل URI هذا الخاص بـ Node.js بفك تشفير الرموز المئوية في اسم المضيف أثناء التحليل، ثم يقوم بعد ذلك بفك تشفير اسم المضيف الذي تم تحليله مرة ثانية أثناء إعادة تكوين السلطة. ويسمح هذا الفك المزدوج للتشفير بتحويل المدخلات المتداخلة المشفرة بالرموز المئوية إلى وجهة شبكة مختلفة، مثل اسم مضيف أو عنوان loopback، مما يشكل انتهاكًا للمادة 2.4 من RFC 3986. قد تكون التطبيقات التي تقوم بتوحيد أو تحليل عناوين URI غير الموثوق بها من عائلة HTTP قبل التوجيه الصادر أو التحقق من صحة إعادة التوجيه أو فحوصات سياسة المضيف عرضة لتزوير الطلبات من جانب الخادم (SSRF) وتجاوز سياسة المضيف.

قم بتحديث الإصدارات من 2.4.1 إلى 2.4.4 إلى الإصدار 2.4.5.

قم بتحديث الإصدارات من 3.1.2 إلى 3.1.5 إلى الإصدار 3.1.6.

قم بتحديث الإصدارات من 4.0.0 إلى 4.1.2 إلى الإصدار 4.1.3.