CVE-2026-93690
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Biblioteka uri-js do wersji 4.4.1 zawiera podatność typu denial of service w funkcji removeDotSegments, która zapętla się w nieskończoność, gdy segment ścieżki zaczyna się od unicode'owych separatorów wiersza lub akapitu. Atakujący może to wywołać bezpośrednio przez removeDotSegments lub przez funkcje normalize/resolve z włączoną obsługą IRI, blokując pętlę zdarzeń Node.js do wyczerpania sterty.
Ocena ryzyka
Atakujący może zawiesić aplikację Node.js, powodując niedostępność usługi i wyczerpanie pamięci. Może to prowadzić do przerwy w działaniu krytycznych usług.
Rekomendacja
Zaktualizuj uri-js do wersji nowszej niż 4.4.1, jeśli jest dostępna, lub zastosuj obejście polegające na walidacji danych wejściowych przed przekazaniem do removeDotSegments/normalize/resolve. Rozważ użycie alternatywnej biblioteki.
Inne podatności w uri-js
Zobacz wszystkie- CVE-2026-103387Średnie
Słabość została zidentyfikowana w garycourt uri-js do wersji 4.4.1. Dotyczy funkcji URI.parse w pliku src/schemes/mailto.ts komponentu Mailto Header Handler. Manipulacja argumentem powoduje nieprzechwycony wyjątek. Atak może być inicjowany zdalnie. Exploit został udostępniony publicznie i może być używany do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
- CVE-2026-93751Średnie
Biblioteka uri-js w wersjach do 4.4.1 zawiera błąd nieprawidłowego dekodowania UTF-8 w funkcji pctDecChars(), która zamienia nieprawidłowe i zbyt długie sekwencje procentowe na metaznaki ASCII. Atakujący może przygotować specjalnie zakodowane ładunki, aby ominąć walidację dekodera platformy i wstrzyknąć sekwencje path traversal lub CRLF, które kolejne komponenty przetwarzają bez filtrowania.
Oryginalny opis (angielski, źródło NVD)
uri-js through 4.4.1 contains a denial of service vulnerability in the removeDotSegments function that loops infinitely when a path segment begins with Unicode line or paragraph separators. Attackers can trigger this by calling removeDotSegments directly or through normalize/resolve functions with IRI handling enabled, causing the Node.js event loop to block indefinitely until heap exhaustion.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS