CVE-2026-103387
ŚrednieCVSS 4.3Streszczenie
Słabość została zidentyfikowana w garycourt uri-js do wersji 4.4.1. Dotyczy funkcji URI.parse w pliku src/schemes/mailto.ts komponentu Mailto Header Handler. Manipulacja argumentem powoduje nieprzechwycony wyjątek. Atak może być inicjowany zdalnie. Exploit został udostępniony publicznie i może być używany do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
Ocena ryzyka
Ryzyko awarii aplikacji: zdalny atak może spowodować nieprzechwycony wyjątek, co może prowadzić do przerwania działania usługi lub wycieku informacji.
Rekomendacja
Zastosuj dostępne poprawki lub obejścia, monitoruj publiczne informacje o luce, a jeśli to możliwe, ogranicz użycie biblioteki do zaufanych źródeł.
Inne podatności w uri-js
Zobacz wszystkie- CVE-2026-93751Średnie
Biblioteka uri-js w wersjach do 4.4.1 zawiera błąd nieprawidłowego dekodowania UTF-8 w funkcji pctDecChars(), która zamienia nieprawidłowe i zbyt długie sekwencje procentowe na metaznaki ASCII. Atakujący może przygotować specjalnie zakodowane ładunki, aby ominąć walidację dekodera platformy i wstrzyknąć sekwencje path traversal lub CRLF, które kolejne komponenty przetwarzają bez filtrowania.
- CVE-2026-93690Wysokie
Biblioteka uri-js do wersji 4.4.1 zawiera podatność typu denial of service w funkcji removeDotSegments, która zapętla się w nieskończoność, gdy segment ścieżki zaczyna się od unicode'owych separatorów wiersza lub akapitu. Atakujący może to wywołać bezpośrednio przez removeDotSegments lub przez funkcje normalize/resolve z włączoną obsługą IRI, blokując pętlę zdarzeń Node.js do wyczerpania sterty.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in garycourt uri-js up to 4.4.1. This affects the function URI.parse of the file src/schemes/mailto.ts of the component Mailto Header Handler. This manipulation of the argument to causes uncaught exception. The attack may be initiated remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS