CVE-2026-110180

Nome do Software Vulnerável e Versões Afetadas fast-uri versões 2.4.2 through 2.4.7 fast-uri versões 3.1.3 through 3.1.8 fast-uri versões 4.0.1 through 4.2.2

Description Para esquemas da família HTTP, a função canonicalizeHost() passa o host analisado para o analisador de URL WHATWG e adota seu hostname sem verificar se o analisador consumiu toda a entrada como um host. Isso permite que a autoridade seja silenciosamente reescrita, descartando dados antes de um sinal de arroba (@) e removendo caracteres de tabulação, retorno de carro e alimentação de linha sem reportar erro. Aplicações que aplicam políticas baseadas em host, como listas de negação, filtragem de loopback, validação de redirecionamento ou roteamento de proxy de saída, podem observar que o host canônico diverge da representação verificada, permitindo que o tráfego seja direcionado para um destino indesejado.

Recommendations Atualizar as versões 2.4.2 through 2.4.7 para 2.4.8 ou posterior. Atualizar as versões 3.1.3 through 3.1.8 para 3.1.9 ou posterior. Atualizar as versões 4.0.1 through 4.2.2 para 4.2.3 ou posterior. Como medida paliativa temporária, rejeite qualquer autoridade que contenha mais de um sinal de arroba ou qualquer caractere de tabulação, retorno de carro ou alimentação de linha antes de chamar a biblioteca, ou trate qualquer erro de análise não vazio como fatal e compare hosts apenas a partir do mesmo resultado de análise.