JVNDB-2026-031565

Open JS Foundationのfast-uriにおける解釈の競合に関する脆弱性

fast-uriのバージョン4.1.2未満、3.1.5未満、および2.4.4未満では、URIのオーソリティを認識するためにリテラルのダブルフォワードスラッシュ（//）が必要です。そのため、バックスラッシュを使った導入文字（\\、/\、\/）に置き換えられた参照はオーソリティを認識せず、パスに折りたたまれて解析されます。一方、NodeのネイティブWHATWG URLパーサは、特殊なスキームに対してバックスラッシュをフォワードスラッシュと同じものとして扱うため、両者は同じ入力から異なるホストを抽出します。fast-uriを使用してホストベースのポリシー（ホワイトリスト、SSRFフィルタリング、リダイレクト検証など）を適用し、その後同じURLをNodeのURLやfetchで使用するアプリケーションは、意図しないホストに誘導される可能性があります。fast-uriをバージョン4.1.2、3.1.5、または2.4.4にアップグレードしてください。

Open JS Foundation

• fast-uri 2.4.4 未満
• fast-uri 3.0.0 以上 3.1.5 未満
• fast-uri 4.0.0 以上 4.1.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fast-uri vulnerable to host confusion via backslash authority introducer  Advisory  fastify/fast-uri  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 解釈の競合(CWE-436) [その他]

1. CVE-2026-18446

1. National Vulnerability Database (NVD) : CVE-2026-18446

• [2026年09月03日]
    掲載