JVNDB-2026-027068

Open JS Foundationのfast-uriにおける解釈の競合に関する脆弱性

影響：fast-uriのバージョン2.3.1から4.1.0まで（3.x系列は3.1.3まで、2.x系列は2.4.2までを含む）は、リテラルのバックスラッシュ文字（U+005C）を権限区切り文字として扱いません。fetch、undici、およびNodeのhttpやhttpsクライアントで使用されるNodeのネイティブWHATWG URLパーサーは、http、https、ws、wss、ftp、fileなどの特殊なスキームに対してバックスラッシュをスラッシュに正規化します。その結果、2つのパーサーは同じ入力文字列から異なるホストを抽出します。fast-uriを使用して許可リスト、拒否リスト、ループバックまたはSSRFフィルタリング、リダイレクト検証、アウトバウンドプロキシルーティングなどのホストベースのポリシーを強制し、同じURLをNodeのURLやfetchの利用者に渡すアプリケーションでは、クラウドメタデータエンドポイント、ループバック、内部ホストを含む意図しない宛先へ誘導される可能性があります。対策：fast-uriをバージョン4.1.1、3.1.4、または2.4.3にアップグレードしてください。回避策はありません。

Open JS Foundation

• fast-uri 2.3.1 以上 2.4.3 未満
• fast-uri 3.0.0 以上 3.1.4 未満
• fast-uri 4.0.0 以上 4.1.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fast-uri vulnerable to host confusion via literal backslash authority delimiter  Advisory  fastify/fast-uri  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 解釈の競合(CWE-436) [その他]

1. CVE-2026-16221

1. National Vulnerability Database (NVD) : CVE-2026-16221

• [2026年08月06日]
    掲載