Veille sécuritéBackend & données
P4Moyenne
fast-uri décode le composant schéma avec unescape() avant validation et peut ainsi produire un schéma actif à partir d’une entrée encodée. Mettre à jour vers une version corrigée; à défaut, refuser les signes « % » dans le schéma et appliquer une liste autorisée au schéma après normalisation.
JavaScriptNode.js
IdentifiantCVE-2026-110306
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctiffast-uri 2.4.8, 3.1.9 ou 4.2.3
Source : NVD — CVE-2026-110306
Analyse technique
Un schéma encodé peut devenir javascript:, data: ou vbscript: après traitement; la comparaison equal() peut aussi considérer équivalents un schéma encodé et sa forme en clair.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-20 à 07:17:08.810Z, soit 2026-10-20T09:17:08.810+02:00, dans la période retenue.
ImpactUne chaîne examinée comme inerte peut devenir une URL active, notamment dans un contexte de rendu, ou contourner une liste d’autorisation fondée sur l’égalité.
Versions affectéesAvant 2.4.8; 3.0.0 à 3.1.8; 4.0.0 à 4.2.2
Version corrigéefast-uri 2.4.8, 3.1.9 ou 4.2.3
ContournementRefuser un signe « % » dans le composant schéma ou contrôler le schéma analysé après normalisation à l’aide d’une liste autorisée.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
EPSS0,20% · percentile 9,8%
Publication2026-10-20T09:17:08.810+02:00
Mise à jour2026-10-20T22:17:14.917+02:00
Action recommandée
Mettre à jour fast-uri et valider les schémas après normalisation.
Sources
Priorisation DFS : P4 · 1 source(s).