Yashvanthange

**Nome do Software Vulnerável e Versões Afetadas** fast-uri versões anteriores a 2.4.6 fast-uri versões 3.0.0 a 3.1.6 fast-uri versões 4.0.0 a 4.1.3 **Description** O software serializa o componente de porta de uma URI sem a validação adequada. Durante a recomposição da autoridade, a porta é concatenada literalmente, enquanto os componentes de userinfo e host são escapados. Isso permite que um valor de porta contendo caracteres que não sejam dígitos injete delimitadores de autoridade, o que pode rebaixar o host pretendido para userinfo e redirecionar a autoridade para um host controlado por um invasor. Este problema ocorre em aplicações que constroem URIs a partir de partes e atribuem dados não confiáveis ao componente de porta através das funções `serialize`, `normalize` ou `equal` em suas formas de objeto. **Recommendations** Atualizar para a versão 2.4.6. Atualizar para a versão 3.1.7. Atualizar para a versão 4.1.4.

**Nome do Software Vulnerável e Versões Afetadas** fast-uri versões anteriores a 2.4.6 fast-uri versões anteriores a 3.1.7 fast-uri versões anteriores a 4.1.4 **Description** A função `parse()` não reporta erro quando um host contém um colchete de autoridade desbalanceado ou mal posicionado. Um host que inicia com um colchete de abertura, mas não termina com um de fechamento, não é validado como um literal de IP nem canonicalizado como um nome de domínio. Consequentemente, a função retorna o host com erro indefinido, enquanto o URL do Node e os clientes HTTP baseados nele resolvem a mesma string para um host diferente. Essa discrepância pode causar confusão de host em aplicações que utilizam o host analisado para decisões de segurança, como listas de negação de SSRF, listas de permissão de redirecionamento ou roteamento de proxy, pois a política é avaliada contra uma string diferente do host que a requisição realmente atinge. O mesmo comportamento ocorre nas funções `normalize`, `equal` e `resolve`. **Recommendations** Atualize para a versão 2.4.6 ou posterior. Atualize para a versão 3.1.7 ou posterior. Atualize para a versão 4.1.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** fast-uri versões 2.3.1 até 2.4.4 fast-uri versões 3.0.0 até 3.1.5 fast-uri versões 4.0.0 até 4.1.2 **Description** Durante a análise de URI, o software realiza uma passagem de decodificação legada no componente de esquema sem re-escapar o resultado. Quando ocorre a serialização, o esquema é gravado literalmente. Se um esquema de entrada contiver barras codificadas em percentual, ele é analisado como não possuindo autoridade, deixando o host e o erro como indefinidos. No entanto, a resolução ou normalização dessa entrada produz uma referência de caminho de rede com uma autoridade controlada por um invasor. Isso pode levar a server-side request forgery, redirecionamentos externos ou bypass de política de endereço se uma aplicação confiar no host analisado para listas de permissão ou assumir que uma referência sem autoridade é segura. Além disso, o decodificador legado expande formas de escape não padronizadas e permite que caracteres de controle no esquema sejam emitidos como retornos de carro e alimentações de linha brutos. **Recommendations** Atualizar fast-uri versões 2.3.1 até 2.4.4 para a versão 2.4.5. Atualizar fast-uri versões 3.0.0 até 3.1.5 para a versão 3.1.6. Atualizar fast-uri versões 4.0.0 até 4.1.2 para a versão 4.1.3.