„`html
Zusammenfassung
CVE-2026-75931 beschreibt eine Host-Canonicalization-Schwachstelle im URI-Parser fast-uri für Node.js. Die Sicherheitslücke ermöglicht es Angreifern, Host-Validation-Mechanismen zu umgehen, indem sie die inkonsistente Verarbeitung von URIs mit und ohne explizitem Schema ausnutzen. Der Schweregrad wird mit CVSS 7.5 (High) eingestuft.
Betroffene Systeme
- fast-uri Version 2.4.2 bis 2.4.4 (ausschließlich 2.4.5)
- fast-uri Version 3.1.3 bis 3.1.5 (ausschließlich 3.1.6)
- fast-uri Version 4.0.1 bis 4.1.2 (ausschließlich 4.1.3)
Alle Node.js-Anwendungen, die das fast-uri-Modul in betroffenen Versionen nutzen, sind betroffen.
Technische Details
Die Vulnerability liegt in der inkonsistenten Host-Normalisierung. fast-uri canonicalisiert einen Host zu seiner ASCII-Form nur dann, wenn die Eingabe ein explizites Schema enthält. Scheme-relative Referenzen (z.B. //example.com) werden mit unverändertem Host zurückgegeben.
Dies führt dazu, dass die Einstiegspunkte parse(), resolve(), normalize() und equal() unterschiedliche Host-Werte für identische Eingaben liefern – abhängig davon, ob ein Schema vorhanden ist. Ein Angreifer kann dies ausnutzen, um Policy-Listen zu umgehen: Eine Anwendung prüft einen Host mit fast-uri gegen eine Whitelist, während die tatsächliche Auflösung auf einen anderen Host verweist.
Beispiel: //münchen.de vs. http://xn--mnchen-3ya.de unterscheiden sich in der Verarbeitung und können unterschiedliche Sicherheitsbewertungen erhalten.
Empfohlene Massnahmen
- Umgehend Upgrade auf Version 2.4.5, 3.1.6 oder 4.1.3 durchführen
- Bestandteile des Dependency Management überprüfen (npm audit, yarn audit)
- Testing-Szenarien mit scheme-relative URIs durchführen
- Internationalisierte Domain-Namen (IDN) in Security-Policies berücksichtigen
Bewertung
CVSS Score: 7.5 (High)
Die Schwachstelle hat hohes Exploitations-Potenzial durch einfache Manipulation von URI-Schemas. Sicherheitsmechanismen können systematisch umgangen werden. Ein Sofort-Update ist erforderlich.
„`