CVE-2026-93751
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Biblioteka uri-js w wersjach do 4.4.1 zawiera błąd nieprawidłowego dekodowania UTF-8 w funkcji pctDecChars(), która zamienia nieprawidłowe i zbyt długie sekwencje procentowe na metaznaki ASCII. Atakujący może przygotować specjalnie zakodowane ładunki, aby ominąć walidację dekodera platformy i wstrzyknąć sekwencje path traversal lub CRLF, które kolejne komponenty przetwarzają bez filtrowania.
Ocena ryzyka
Podatność pozwala na obejście mechanizmów walidacji i wstrzyknięcie niebezpiecznych sekwencji do aplikacji przetwarzających URI, co może prowadzić do nieautoryzowanego dostępu do plików lub manipulacji nagłówkami. Organizacje używające uri-js w krytycznych ścieżkach przetwarzania danych są narażone na ataki path traversal i CRLF injection.
Rekomendacja
Zaktualizuj bibliotekę uri-js do wersji nowszej niż 4.4.1, jeśli jest dostępna, lub zastosuj dodatkową walidację i sanityzację danych wejściowych przed przekazaniem ich do dekodera. Monitoruj komunikaty bezpieczeństwa projektu uri-js w celu uzyskania informacji o poprawce.
Inne podatności w uri-js
Zobacz wszystkie- CVE-2026-103387Średnie
Słabość została zidentyfikowana w garycourt uri-js do wersji 4.4.1. Dotyczy funkcji URI.parse w pliku src/schemes/mailto.ts komponentu Mailto Header Handler. Manipulacja argumentem powoduje nieprzechwycony wyjątek. Atak może być inicjowany zdalnie. Exploit został udostępniony publicznie i może być używany do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
- CVE-2026-93690Wysokie
Biblioteka uri-js do wersji 4.4.1 zawiera podatność typu denial of service w funkcji removeDotSegments, która zapętla się w nieskończoność, gdy segment ścieżki zaczyna się od unicode'owych separatorów wiersza lub akapitu. Atakujący może to wywołać bezpośrednio przez removeDotSegments lub przez funkcje normalize/resolve z włączoną obsługą IRI, blokując pętlę zdarzeń Node.js do wyczerpania sterty.
Oryginalny opis (angielski, źródło NVD)
uri-js through 4.4.1 contains an improper UTF-8 decoding vulnerability in pctDecChars() that decodes invalid and overlong percent-encoded sequences into ASCII metacharacters. Attackers can craft percent-encoded payloads to bypass platform decoder validation and inject path traversal or CRLF sequences that downstream consumers process without filtering.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS