CVE-2026-110306

Nome do Software Vulnerável e Versões Afetadas fast-uri versões anteriores a 2.4.8 fast-uri versões 3.0.0 a 3.1.8 fast-uri versões 4.0.0 a 4.2.2

Descrição O software realiza a decodificação de percentagem do componente de esquema usando a função global legada unescape() antes da validação. Isso permite que entradas com esquemas codificados em percentagem sejam emitidas como esquemas ativos, contrariando a RFC 3986. Aplicações que filtram esquemas perigosos na entrada bruta, mas armazenam ou renderizam o resultado normalizado, podem inadvertidamente permitir a criação de URLs executáveis de javascript, data ou vbscript, resultando em cross-site scripting armazenado ou refletido. Além disso, a função equal() trata esquemas codificados e simples como idênticos, o que pode ser usado para burlar listas de permissões baseadas em igualdade.

Recomendações Atualizar para a versão 2.4.8 ou posterior. Atualizar para a versão 3.1.9 ou posterior. Atualizar para a versão 4.2.3 ou posterior. Rejeitar entradas em que a parte do esquema contenha um sinal de percentagem. Verificar o esquema analisado contra uma lista de permissões após a normalização e utilizar o resultado analisado em vez da string bruta.