JVNDB-2026-031589

Open JS Foundationのfast-uriにおける複数の脆弱性

fast-uriはNode.js向けのURIパーサーです。ホスト名のパース中にパーセントエスケープをデコードし、その後、権限部分の再構成時に解析されたホスト名を再度デコードするため、normalizeやresolveを一度呼び出すだけで、二重にエンコードされた入力がループバックホスト名やアドレスなどの異なるネットワーク宛先に変わってしまう可能性があります。例えば、ループバック名を表す二重にエンコードされたホストは、一度の操作で実際のホスト名に復号されますが、これはRFC 3986の第2.4節「同じ文字列を複数回デコードしてはならない」という規定に反しています。信頼できないHTTP系URIを、出力ルーティング、リダイレクトの検証、ホストポリシーのチェックの前に正規化または解決するアプリケーションは、元のエンコードされたホストが表していた宛先とは異なる宛先を受け取る可能性があるため、サーバーサイドリクエスト偽造（SSRF）やホストポリシーバイパスの脆弱性を引き起こします。本問題はCVE-2026-6322の不完全修正バリアントです。影響を受けるバージョンは2.4.1以上2.4.5未満、3.1.2以上3.1.6未満、4.0.0以上4.1.3未満です。本問題はパーセントエスケープを一度だけ正規化し、エンコードされたパーセント記号を保持する2.4.5、3.1.6、および4.1.3で修正されています。ユーザーは修正済みのバージョンにアップグレードすべきです。

Open JS Foundation

• fast-uri 2.4.1 以上 2.4.5 未満
• fast-uri 3.1.2 以上 3.1.6 未満
• fast-uri 4.0.0 以上 4.1.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fast-uri vulnerable to server-side request forgery via repeated hostname percent-decoding  Advisory  fastify/fast-uri  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 同一データの二重デコード(CWE-174) [その他]
2. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-75899

1. National Vulnerability Database (NVD) : CVE-2026-75899

• [2026年09月03日]
    掲載