Veille sécuritéBackend & données
P4Moyenne
Pour les schémas HTTP, canonicalizeHost() peut accepter un hôte réécrit par le parseur WHATWG sans vérifier que toute l’entrée a été interprétée comme hôte. Mettre à jour fast-uri vers la version corrigée, ou rejeter les autorités comportant plusieurs « @ », tabulations ou retours à la ligne avant traitement.
Node.js
IdentifiantCVE-2026-110180
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctiffast-uri 2.4.8, 3.1.9 ou 4.2.3
Source : NVD — CVE-2026-110180
Analyse technique
La divergence entre l’autorité contrôlée par l’application et l’hôte canonisé peut contourner des vérifications de liste de refus, de redirection, d’accès à la boucle locale ou de routage proxy.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-20 à 07:17:08.687Z, soit 2026-10-20T09:17:08.687+02:00, dans la période retenue.
ImpactDes contrôles fondés sur l’hôte peuvent être contournés et le trafic dirigé vers une destination imprévue.
Versions affectées2.4.2 à 2.4.7; 3.1.3 à 3.1.8; 4.0.1 à 4.2.2
Version corrigéefast-uri 2.4.8, 3.1.9 ou 4.2.3
ContournementRejeter les autorités comportant plusieurs « @ », une tabulation, un retour chariot ou un saut de ligne; traiter les erreurs d’analyse comme fatales.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.8
EPSS0,21% · percentile 10,4%
Publication2026-10-20T09:17:08.687+02:00
Mise à jour2026-10-20T22:06:37.150+02:00
Action recommandée
Mettre à jour fast-uri vers une version corrigée de la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).