CVE-2026-110095

Nome do Software Vulnerável e Versões Afetadas fast-uri versões anteriores a 2.4.8 fast-uri versões 3.0.0 a 3.1.8 fast-uri versões 4.0.0 a 4.2.2

Descrição As funções normalize() e serialize() aplicam incorretamente a remoção de segmentos de ponto da RFC 3986 ao caminho de uma referência de caminho relativo. Esse algoritmo é definido apenas para o caminho de destino mesclado durante a resolução. Consequentemente, um segmento de diretório pai inicial pode ser removido, fazendo com que uma referência relativa ao documento se torne relativa à raiz. Aplicações que normalizam referências relativas fornecidas por usuários antes da resolução, ou que as utilizam como chaves de cache, deduplicação ou autorização, podem permitir que a referência escape de seu diretório pretendido e aponte para um recurso diferente.

Recomendações Atualize para a versão 2.4.8 ou posterior. Atualize para a versão 3.1.9 ou posterior. Atualize para a versão 4.2.3 ou posterior. Como medida paliativa temporária, resolva a referência relativa em relação à sua base absoluta primeiro e normalize o resultado absoluto em vez de normalizar a referência antecipadamente.