JVNDB-2026-031645

Open JS Foundationのfast-uriにおける複数の脆弱性

fast-uriはNode.js向けのURIパーサーです。括弧付きのIPv6リテラル用のカスタムパーサーは、IPv6の完全な文法を検証しないため、権限部分の無効な末尾テキストを静かに破棄してしまい、攻撃者が制御する不正なホストが別の有効なIPv6宛先に変換されてしまいます。例えば、末尾に無効な文字がある括弧付きリテラルは未指定アドレスに正規化され、NodeのHTTPクライアントはループバック経由でローカルサービスに接続します。他の不正なリテラルはプライベートレンジアドレスに畳み込まれます。解析結果にエラーが設定されないため、エラーフィールドをチェックするアプリケーションは書き換えを検出できません。信頼できないURLを正規化してからアウトバウンドリクエスト、リダイレクト、プロキシルーティング、アドレスポリシー適用を行うアプリケーションは、ローカルまたはプライベートIPv6ターゲットにリダイレクトしてしまい、サーバーサイドリクエストフォージェリやアドレスポリシーバイパスを引き起こす可能性があります。影響を受けるバージョンは2.3.1から2.4.5未満、3.0.0から3.1.6未満、4.0.0から4.1.3未満です。この問題は2.4.5、3.1.6、4.1.3で修正されており、括弧付きIPリテラルを完全な文法に基づき検証し、不正なリテラルを権限エラーとしてマークするようになっています。ユーザーは修正済みバージョンにアップグレードすることを推奨します。

Open JS Foundation

• fast-uri 2.3.1 以上 2.4.5 未満
• fast-uri 3.0.0 以上 3.1.6 未満
• fast-uri 4.0.0 以上 4.1.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fast-uri vulnerable to server-side request forgery via malformed IPv6 normalization  Advisory  fastify/fast-uri  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不適切な入力確認(CWE-20) [その他]
2. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-75975

1. National Vulnerability Database (NVD) : CVE-2026-75975

• [2026年09月03日]
    掲載