CVE-2026-6322
CVE-2026-6322 · fast-uri vulnerable to host confusion via percent-encoded authority delimiters
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
На странице показана часть фактов из источников. Полное описание и список затронутых версий приведены в связанных бюллетенях.
fast-uri normalize() decoded percent-encoded authority delimiters inside the host component and then re-emitted them as raw delimiters during serialization. A host that combined an allowed domain, an encoded at-sign, and a different domain was re-emitted with the at-sign as a raw userinfo separator, changing the URI's authority to the second domain. Applications that normalize untrusted URLs before host allowlist checks, redirect validation, or outbound request routing can be steered to a different authority than the input appeared to specify. Versions <= 3.1.1 are affected. Update to 3.1.2 or later.
CVSS 7.5 · Высокий · EPSS 0,7% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
fast-uri
- Версии
- ≥ 0, < 3.1.2: Затронуто (semver)
- 3.1.2: Не затронуто (semver)
Обновитесь до 3.1.2
node-ajv Debian:12
- Версии
- 6.12.6-3
- 8.11.2~ds+~2.1.1-1
- 8.12.0~ds+~2.1.1-1
- 8.12.0~ds+~2.1.1-2
- 8.12.0~ds+~2.1.1-3
- 8.12.0~ds+~2.1.1-4
- 8.12.0~ds+~2.1.1-5
- 8.17.1~ds+~3.0.1+~3.1.0-1
- 8.17.1~ds+~3.0.1+~3.1.0-2
- 8.17.1~ds+~3.0.1+~3.1.0-3
- 8.17.1~ds+~3.0.1+~3.1.0-4
- 8.18.0~ds+~cs6.1.1-1
- 8.18.0~ds+~cs6.1.1-2
- 8.20.0~ds+~cs6.1.3-1
- 8.20.0~ds+~cs7.1.2-1
- 8.20.0~ds+~cs7.1.3-1
- 8.20.0~ds+~cs7.1.3-2
- 8.20.0~ds+~cs7.1.3-3
- 8.20.0~ds+~cs7.1.4-1
- 8.20.0~ds+~cs7.1.5-1
- 8.20.0~ds+~cs7.1.6-1
- 8.8.2~ds+~2.1.1-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
node-ajv Debian:13
- Версии
- 8.12.0~ds+~2.1.1-5
- 8.17.1~ds+~3.0.1+~3.1.0-1
- 8.17.1~ds+~3.0.1+~3.1.0-2
- 8.17.1~ds+~3.0.1+~3.1.0-3
- 8.17.1~ds+~3.0.1+~3.1.0-4
- 8.18.0~ds+~cs6.1.1-1
- 8.18.0~ds+~cs6.1.1-2
- 8.20.0~ds+~cs6.1.3-1
- 8.20.0~ds+~cs7.1.2-1
- 8.20.0~ds+~cs7.1.3-1
- 8.20.0~ds+~cs7.1.3-2
- 8.20.0~ds+~cs7.1.3-3
- 8.20.0~ds+~cs7.1.4-1
- 8.20.0~ds+~cs7.1.5-1
- 8.20.0~ds+~cs7.1.6-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
node-ajv Debian:14
- Версии
- 8.12.0~ds+~2.1.1-5
- 8.17.1~ds+~3.0.1+~3.1.0-1
- 8.17.1~ds+~3.0.1+~3.1.0-2
- 8.17.1~ds+~3.0.1+~3.1.0-3
- 8.17.1~ds+~3.0.1+~3.1.0-4
- 8.18.0~ds+~cs6.1.1-1
- 8.18.0~ds+~cs6.1.1-2
- Затронутые диапазоны версий
- ECOSYSTEM: < 8.20.0~ds+~cs6.1.3-1
Обновитесь до 8.20.0~ds+~cs6.1.3-1
fast-uri npm
- Затронутые диапазоны версий
- SEMVER: ≥ 3.0.0, < 3.1.2
Обновитесь до 3.1.2
fast-uri npm
- Затронутые диапазоны версий
- SEMVER: < 2.4.1
Обновитесь до 2.4.1
node-ajv Ubuntu:18.04:LTS
- Версии
- 5.0.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
node-ajv Ubuntu:20.04:LTS
- Версии
- 6.10.2-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
node-ajv Ubuntu:22.04:LTS
- Версии
- 6.12.6-2
- 6.12.6-3
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
node-ajv Ubuntu:24.04:LTS
- Версии
- 6.12.6-3
- 8.12.0~ds+~2.1.1-4
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
node-ajv Ubuntu:25.10
- Версии
- 8.12.0~ds+~2.1.1-5
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
node-ajv Ubuntu:26.10
- Версии
- 8.17.1~ds+~3.0.1+~3.1.0-4build1
- 8.20.0~ds+~cs6.1.3-1
- 8.20.0~ds+~cs7.1.2-1
- 8.20.0~ds+~cs7.1.3-1
- 8.20.0~ds+~cs7.1.3-3
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
node-ajv Ubuntu:26.04:LTS
- Версии
- 8.12.0~ds+~2.1.1-5
- 8.17.1~ds+~3.0.1+~3.1.0-2
- 8.17.1~ds+~3.0.1+~3.1.0-4build1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
Первоисточники
- https://github.com/fastify/fast-uri/security/advisories/GHSA-v39h-62p7-jpjc
- https://cna.openjsf.org/security-advisories.html
- https://access.redhat.com/security/cve/CVE-2026-6322
- https://bugzilla.redhat.com/show_bug.cgi?id=2466684
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-6322.json
- https://access.redhat.com/errata/RHSA-2026:42078
- https://access.redhat.com/errata/RHSA-2026:34160
- https://access.redhat.com/errata/RHSA-2026:34342
- https://access.redhat.com/errata/RHSA-2026:37385
- https://access.redhat.com/errata/RHSA-2026:25273
- https://access.redhat.com/errata/RHSA-2026:34374
- https://access.redhat.com/errata/RHSA-2026:42142
- https://access.redhat.com/errata/RHSA-2026:41951
- https://access.redhat.com/errata/RHSA-2026:36754
- https://access.redhat.com/errata/RHSA-2026:26234
- https://access.redhat.com/errata/RHSA-2026:29197
- https://access.redhat.com/errata/RHSA-2026:61783
- https://access.redhat.com/errata/RHSA-2026:36651
- https://access.redhat.com/errata/RHSA-2026:40945
- https://access.redhat.com/errata/RHSA-2026:40118
- https://access.redhat.com/errata/RHSA-2026:60855
- https://access.redhat.com/errata/RHSA-2026:41928
- https://access.redhat.com/errata/RHSA-2026:43038
- https://nvd.nist.gov/vuln/detail/CVE-2026-6322