p PatchFirst

CVE-2026-13676

CVE-2026-13676 · fast-uri vulnerable to host confusion via failed IDN canonicalization

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Cette page présente une partie des faits des sources. Consultez les avis liés pour la description complète et les versions concernées.

fast-uri versions 2.3.1 through 3.1.2 and 4.0.0 fail to canonicalize Unicode (IDN) hostnames for HTTP-family URLs. The IDN conversion path calls a helper that does not exist on the global URL constructor, silently leaving the host in its original Unicode form while normalize() and equal() still return values that differ from a WHATWG-compatible URL parser. Applications that use fast-uri to enforce host-based policy (denylists, loopback filtering, redirect validation, outbound proxy routing) before passing the same URL to Node's URL or fetch can be bypassed when the two implementations resolve the same input to different hosts. Patches: upgrade to fast-uri 3.1.3 for the 3.x line or 4.0.1 for the 4.x line. Workarounds: enforce host policy using the same URL parser used for the actual request, or reject non-ASCII hosts before policy checks.

CVSS 7.5 · Élevée · EPSS 0,7% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · node

Produits et versions concernés

  • fast-uri

    Versions du logiciel
    • ≥ 4.0.0, < 4.0.1: Concernée (semver)
    • 4.0.1: Non concernée (semver)
    • ≥ 2.3.1, < 3.1.3: Concernée (semver)
    • 3.1.3: Non concernée (semver)

    Mettez à jour vers 3.1.3; Mettez à jour vers 4.0.1

  • node-ajv Debian:13

    Versions du logiciel
    • 8.12.0~ds+~2.1.1-5
    • 8.17.1~ds+~3.0.1+~3.1.0-1
    • 8.17.1~ds+~3.0.1+~3.1.0-2
    • 8.17.1~ds+~3.0.1+~3.1.0-3
    • 8.17.1~ds+~3.0.1+~3.1.0-4
    • 8.18.0~ds+~cs6.1.1-1
    • 8.18.0~ds+~cs6.1.1-2
    • 8.20.0~ds+~cs6.1.3-1
    • 8.20.0~ds+~cs7.1.2-1
    • 8.20.0~ds+~cs7.1.3-1
    • 8.20.0~ds+~cs7.1.3-2
    • 8.20.0~ds+~cs7.1.3-3
    • 8.20.0~ds+~cs7.1.4-1
    • 8.20.0~ds+~cs7.1.5-1
    • 8.20.0~ds+~cs7.1.6-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Debian:14

    Versions du logiciel
    • 8.12.0~ds+~2.1.1-5
    • 8.17.1~ds+~3.0.1+~3.1.0-1
    • 8.17.1~ds+~3.0.1+~3.1.0-2
    • 8.17.1~ds+~3.0.1+~3.1.0-3
    • 8.17.1~ds+~3.0.1+~3.1.0-4
    • 8.18.0~ds+~cs6.1.1-1
    • 8.18.0~ds+~cs6.1.1-2
    • 8.20.0~ds+~cs6.1.3-1
    Plages de versions concernées
    • ECOSYSTEM: < 8.20.0~ds+~cs7.1.2-1

    Mettez à jour vers 8.20.0~ds+~cs7.1.2-1

  • fast-uri npm

    Plages de versions concernées
    • SEMVER: ≥ 4.0.0, < 4.0.1

    Mettez à jour vers 4.0.1

  • fast-uri npm

    Plages de versions concernées
    • SEMVER: ≥ 3.0.0, < 3.1.3

    Mettez à jour vers 3.1.3

  • fast-uri npm

    Plages de versions concernées
    • SEMVER: ≥ 2.3.1, < 2.4.2

    Mettez à jour vers 2.4.2

  • node-ajv Ubuntu:18.04:LTS

    Versions du logiciel
    • 5.0.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:20.04:LTS

    Versions du logiciel
    • 6.10.2-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:22.04:LTS

    Versions du logiciel
    • 6.12.6-2
    • 6.12.6-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:24.04:LTS

    Versions du logiciel
    • 6.12.6-3
    • 8.12.0~ds+~2.1.1-4
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:25.10

    Versions du logiciel
    • 8.12.0~ds+~2.1.1-5
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:26.10

    Versions du logiciel
    • 8.17.1~ds+~3.0.1+~3.1.0-4build1
    • 8.20.0~ds+~cs6.1.3-1
    • 8.20.0~ds+~cs7.1.2-1
    • 8.20.0~ds+~cs7.1.3-1
    • 8.20.0~ds+~cs7.1.3-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:26.04:LTS

    Versions du logiciel
    • 8.12.0~ds+~2.1.1-5
    • 8.17.1~ds+~3.0.1+~3.1.0-2
    • 8.17.1~ds+~3.0.1+~3.1.0-4build1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →