JVNDB-2026-031644

Open JS Foundationのfast-uriにおけるURL エンコーディング（16進エンコーディング）の処理に関する脆弱性

fast-uriはNode.js向けのURIパーサーです。パースの過程でスキームコンポーネントに対してレガシーなデコード処理を行い、その結果を再エスケープしません。シリアライズ時にはスキームを逐語的に書き戻しますが、ホストコンポーネントは再エスケープします。その結果、スキームにパーセントエンコードされたスラッシュを含む入力は権限（authority）なしのスキームとしてパースされるため、パースされたホストとエラーの内容はどちらも未定義になります。しかし、同じ入力をリゾルブや正規化すると、権限部分が攻撃者に選択されたネットワークパス参照となり、そのホストに対して再パースが行われます。パースされたホストに基づいてホワイトリストを行うアプリケーションや、権限なし参照を安全とみなしてベースに対してリゾルブする処理は、本来意図した結果の逆になり、サイト外リダイレクト、サーバーサイドリクエストフォージェリ（SSRF）、アドレスポリシーバイパスを許す可能性があります。レガシーデコーダーは非標準のエスケープ形式も展開するため、上流のフィルターも回避されやすく、スキーム内の制御文字はキャリッジリターンやラインフィードの生のまま出力に到達することがあります。影響を受けるバージョンは2.3.1以上2.4.5未満、3.0.0以上3.1.6未満、4.0.0以上4.1.3未満です。本問題は2.4.5、3.1.6、および4.1.3で修正されており、デコード後に無効となるスキームを拒否します。ユーザーは修正版にアップグレードすることを推奨します。

Open JS Foundation

• fast-uri 2.3.1 以上 2.4.5 未満
• fast-uri 3.0.0 以上 3.1.6 未満
• fast-uri 4.0.0 以上 4.1.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fast-uri vulnerable to host confusion via percent-encoded scheme normalization  Advisory  fastify/fast-uri  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. URLエンコーディング（16進エンコーディング）の不適切な処理(CWE-177) [その他]

1. CVE-2026-76172

1. National Vulnerability Database (NVD) : CVE-2026-76172

• [2026年09月03日]
    掲載