JVNDB-2026-031646

Open JS Foundationのfast-uriにおける解釈の競合に関する脆弱性

fast-uriはNode.js向けのURIパーサーです。fast-uriは、入力に明示的なスキームが含まれている場合にのみホストをASCII形式に正規化します。そのため、「//」で始まるスキーム相対参照のようなホストは、そのホストをそのまま返し、エラーを設定しません。その結果、fast-uriの各エントリポイントであるparse、resolve、normalize、equalは、スキームの有無によって同じ入力に対して異なるホストを返すことがあり、equalは同一のホストペアに対して矛盾する判定を返す可能性があります。fast-uriを使ってホストを抽出し、ポリシーリストと照合した後に同じ参照をresolveするアプリケーションでは、一方のホストに基づいて判断を行いながら、実際の到達先が異なるホストになるため、ホストの混同やポリシーバイパスを引き起こす可能性があります。影響を受けるバージョンは2.4.2から2.4.5未満、3.1.3から3.1.6未満、4.0.1から4.1.3未満です。この問題は2.4.5、3.1.6、4.1.3で修正されており、これらのバージョンではresolve経路全体で一貫してホストを正規化します。ユーザーには修正済みバージョンへのアップグレードを推奨します。

Open JS Foundation

• fast-uri 2.4.2 以上 2.4.5 未満
• fast-uri 3.1.3 以上 3.1.6 未満
• fast-uri 4.0.1 以上 4.1.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fast-uri vulnerable to host confusion via skipped IDN canonicalization on scheme-relative references  Advisory  fastify/fast-uri  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 解釈の競合(CWE-436) [その他]

1. CVE-2026-75931

1. National Vulnerability Database (NVD) : CVE-2026-75931

• [2026年09月03日]
    掲載