Veille sécuritéBackend & données
P4Faible
Avec l’option non par défaut reference=suffix, fast-uri peut sérialiser un chemin relatif dont le premier segment contient un deux-points nu, le faisant réinterpréter comme URI absolue. Mettre à jour fast-uri ou éviter cette option sur des entrées non fiables et encoder le deux-points du premier segment.
JavaScriptNode.js
IdentifiantCVE-2026-110725
GravitéFaible
Exploitationnon connue / non déterminée
Correctiffast-uri 2.4.8, 3.1.9 ou 4.2.3
Source : NVD — CVE-2026-110725
Analyse technique
L’exposition concerne les appels à serialize(), normalize() ou resolve() avec l’option non par défaut reference=suffix sur une référence sans autorité. Le résultat peut être interprété comme une URI à schéma actif.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-20 à 07:17:08.937Z, soit 2026-10-20T09:17:08.937+02:00, dans la période retenue.
ImpactSelon le traitement ultérieur, une référence relative peut devenir une URL active et contribuer à une XSS ou à un contournement d’égalité.
Versions affectéesAvant 2.4.8; 3.0.0 à 3.1.8; 4.0.0 à 4.2.2
Version corrigéefast-uri 2.4.8, 3.1.9 ou 4.2.3
ContournementÉviter l’option reference=suffix sur des entrées non fiables ou encoder le deux-points du premier segment.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
EPSS0,25% · percentile 15,9%
Publication2026-10-20T09:17:08.937+02:00
Mise à jour2026-10-20T22:17:16.123+02:00
Action recommandée
Mettre à jour fast-uri; éviter reference=suffix sur des entrées non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).