JVNDB-2026-015271

Open JS Foundationのfast-uriにおける解釈の競合に関する脆弱性

fast-uri の normalize() は、ホストコンポーネント内のパーセントエンコードされた権限区切り文字をデコードし、その後シリアライズ時にこれらを生の区切り文字として再出力していました。許可されたドメインとエンコードされたアットマーク、および異なるドメインを組み合わせたホストでは、アットマークが生のユーザー情報区切り文字として再出力され、URI の権限が第二のドメインに変更されました。信頼されていない URL を正規化した後にホストの許可リスト確認やリダイレクト検証、または送信先リクエストルーティングを行うアプリケーションは、入力が指定した権限とは異なる権限に誘導される可能性があります。バージョン 3.1.1 以下が影響を受けます。3.1.2 以降にアップデートしてください。

Open JS Foundation

• fast-uri 3.1.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fast-uri vulnerable to host confusion via percent-encoded authority delimiters  Advisory  fastify/fast-uri  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 解釈の競合(CWE-436) [その他]

1. CVE-2026-6322

1. National Vulnerability Database (NVD) : CVE-2026-6322

• [2026年05月14日]
    掲載