„`html
Zusammenfassung
CVE-2026-13676 ist eine kritische Sicherheitslücke in der fast-uri Bibliothek (Versionen 2.3.1 bis 3.1.2 und 4.0.0), die eine unzureichende Kanonisierung von Unicode-Hostnamen (IDN) bei HTTP-Familie URLs ermöglicht. Diese Schwachstelle ermöglicht es Angreifern, hostbasierte Sicherheitsrichtlinien zu umgehen.
Betroffene Systeme
Die Sicherheitslücke betrifft folgende Versionen:
- fast-uri 2.3.1 bis 3.1.2
- fast-uri 4.0.0
Alle Systeme und Anwendungen, die fast-uri zur URL-Validierung und Richtliniendurchsetzung einsetzen, sind potentiell betroffen.
Technische Details
Das Problem liegt in der IDN-Konvertierungsfunktion von fast-uri. Der Helper-Funktion zur Umwandlung von internationalen Domainnamen fehlt eine notwendige Implementierung des globalen URL-Konstruktors. Consequently wird der Hostname in seiner ursprünglichen Unicode-Form belassen, während die Methoden normalize() und equal() weiterhin abweichende Werte zurückgeben, die sich vom WHATWG-Standard unterscheiden.
Dies führt zu einem kritischen Bypass-Szenario: Anwendungen, die fast-uri für hostbasierte Sicherheitsrichtlinien (Denylists, Loopback-Filtering, Redirect-Validierung oder Proxy-Routing) nutzen, bevor dieselbe URL an Node.js URL oder Fetch weitergeleitet wird, können durch Unicode-codierte Hostnames umgangen werden. Beide Parser lösen dieselbe Eingabe unterschiedlich auf.
Empfohlene Massnahmen
- Sofortiges Patching: Aktualisierung auf fast-uri 3.1.3 (3.x-Linie) oder 4.0.1 (4.x-Linie)
- Interim-Workarounds:
- Hostbasierte Richtlinien mit demselben URL-Parser durchsetzen, der für die tatsächliche Anfrageverarbeitung verwendet wird
- Nicht-ASCII-Hostnames vor Richtlinienchecks explizit ablehnen
- Validierung: Code-Review aller Stellen durchführen, an denen fast-uri für Sicherheitschecks verwendet wird
Bewertung
CVSS-Score: 7.5 (High)
Angriffsvektor: Netzwerk
Die Schwachstelle ermöglicht Remote-Attacken ohne Authentifizierung und erfordert minimale Benutzerinteraktion.
„`