ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-13676

Red Hat Confidential Compute AttestationRed Hat Network Observability OperatorRed Hat OpenShift LightspeedRed Hat OpenShift PipelinesRed Hat OpenShift ServerlessRed Hat Ansible Automation Platform 2

fast-uri vulnerable to host confusion via failed IDN canonicalization

CVSS 3.1
7.5بالا

شرح رسمی (انگلیسی)

fast-uri versions 2.3.1 through 3.1.2 and 4.0.0 fail to canonicalize Unicode (IDN) hostnames for HTTP-family URLs. The IDN conversion path calls a helper that does not exist on the global URL constructor, silently leaving the host in its original Unicode form while normalize() and equal() still return values that differ from a WHATWG-compatible URL parser. Applications that use fast-uri to enforce host-based policy (denylists, loopback filtering, redirect validation, outbound proxy routing) before passing the same URL to Node's URL or fetch can be bypassed when the two implementations resolve the same input to different hosts. Patches: upgrade to fast-uri 3.1.3 for the 3.x line or 4.0.1 for the 4.x line. Workarounds: enforce host policy using the same URL parser used for the actual request, or reject non-ASCII hosts before policy checks.

امتیازهای CVSS

امتیازنسخهمنبعبردار
7.5بالا 3.1 CVEProject cvelistV5 (CNA) (openjs) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
7.5بالا 3.1 CVEProject cvelistV5 (CNA) (redhat-SADP) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
Red Hat Confidential Compute Attestation همه CVEProject cvelistV5 (CNA)
Red Hat Network Observability Operator همه CVEProject cvelistV5 (CNA)
Red Hat Network Observability Operator همه CVEProject cvelistV5 (CNA)
Red Hat OpenShift Lightspeed همه CVEProject cvelistV5 (CNA)
Red Hat OpenShift Lightspeed همه CVEProject cvelistV5 (CNA)
Red Hat OpenShift Lightspeed همه CVEProject cvelistV5 (CNA)
Red Hat OpenShift Lightspeed همه CVEProject cvelistV5 (CNA)
Red Hat OpenShift Pipelines همه CVEProject cvelistV5 (CNA)
Red Hat OpenShift Pipelines همه CVEProject cvelistV5 (CNA)
Red Hat OpenShift Pipelines همه CVEProject cvelistV5 (CNA)
Red Hat OpenShift Pipelines همه CVEProject cvelistV5 (CNA)
Red Hat OpenShift Pipelines همه CVEProject cvelistV5 (CNA)
Red Hat OpenShift Serverless همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Ansible Automation Platform 2 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Ansible Automation Platform 2 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Ansible Automation Platform 2 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Ansible Automation Platform 2 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Build of Podman Desktop همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Connectivity Link 1 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Data Grid 8 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Enterprise Linux 9 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Enterprise Linux AI (RHEL AI) 3 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Enterprise Linux AI (RHEL AI) 3 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Enterprise Linux AI (RHEL AI) 3 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat Enterprise Linux AI (RHEL AI) 3 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat OpenShift AI (RHOAI) همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat OpenShift Container Platform 4 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat build of Apache Camel - HawtIO 4 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat build of Apicurio Registry 3 همه CVEProject cvelistV5 (CNA)
Red Hat Red Hat build of Apicurio Registry 3 همه CVEProject cvelistV5 (CNA)
Red Hat Self-service automation portal 2 همه CVEProject cvelistV5 (CNA)
fast-uri fast-uri 2.3.1 ≤ v < 3.1.3 CVEProject cvelistV5 (CNA)
fast-uri fast-uri 4.0.0 ≤ v < 4.0.1 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۴۵
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۴/۰۸
آخرین به‌روزرسانی
۱۴۰۵/۰۶/۲۰
وضعیت
منتشرشده
صادرکننده (CNA)
openjs

پیش‌بینی بهره‌برداری (EPSS)

۰٫۶۹٪
احتمال بهره‌برداری در ۳۰ روز
۵۳٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
بله
وضعیت بهره‌برداری
ندارد
اثر فنی
جزئی

ضعف‌ها (CWE)

  • CWE-436
    Interpretation Conflict
  • CWE-551
    Incorrect Behavior Order: Authorization Before Parsing and Canonicalization