JVNDB-2026-022209

Open JS Foundationのfast-uriにおける複数の脆弱性

fast-uriのバージョン2.3.1から3.1.2および4.0.0は、HTTP系URLのUnicode（IDN）ホスト名を正規化できません。IDN変換の処理は、グローバルURLコンストラクタに存在しないヘルパー関数を呼び出しており、そのためホスト名は元のUnicode形式のまま静かに残されます。その結果、normalize()やequal()はWHATWG互換のURLパーサーとは異なる値を返します。fast-uriを使用してホストベースのポリシー（拒否リスト、ループバックフィルタリング、リダイレクト検証、アウトバウンドプロキシルーティング）を実施し、その後同じURLをNode.jsのURLやfetchに渡すアプリケーションでは、2つの実装が同じ入力を異なるホストとして解決するため、バイパスが可能となります。修正方法として、3.x系はfast-uri 3.1.3へ、4.x系は4.0.1へアップグレードしてください。回避策としては、実際のリクエストに使用するのと同じURLパーサーでホストポリシーを適用するか、ポリシー検査前に非ASCIIホストを拒否するようにしてください。

Open JS Foundation

• fast-uri 2.3.1 以上 3.1.3 未満
• fast-uri 4.0.0 以上 4.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fast-uri vulnerable to host confusion via failed IDN canonicalization  Advisory  fastify/fast-uri  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

レッドハット

• Red Hat : https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-13676.json
• Red Hat Bugzilla : 2494197  (CVE-2026-13676) CVE-2026-13676 fast-uri: fast-uri: Security policy bypass due to improper Unicode hostname canonicalization
• Red Hat Customer Portal : CVE-2026-13676 - Red Hat Customer Portal

1. 解釈の競合(CWE-436) [その他]
2. 不適切な動作順序（解析前および正規化前の認証）(CWE-551) [その他]

1. CVE-2026-13676

1. National Vulnerability Database (NVD) : CVE-2026-13676

• [2026年07月06日]
    掲載