fast-uriに、相対参照の正規化、ホスト解釈、URI出力に関する脆弱性3件。修正版は2.4.8、3.1.9、4.2.3です。認可や接続先の検査、非既定オプションの利用状況を確認し、更新までの回避策を整理します。
この記事のまとめ
GitHubのAdvisory Databaseで、fast-uriのURI解釈や出力に関する脆弱性3件が公表されています。参照先や接続先の判定が変わるほか、一部の使い方ではブラウザー上で不正なスクリプトが動くXSSにつながる恐れがあります。3件とも、修正版として2.4.8、3.1.9、4.2.3が案内されています。
URIは、接続先や参照先を表す文字列です。今回の3件は、fast-uriがその文字列を整えたり、読み取ったり、出力したりする処理に関わります。利用版だけでなく、アプリがどの処理を使っているかを確認する必要があります。
ホスト解釈の欠陥「CVE-2026-110180」で示された対象版は、2系が2.4.2～2.4.7、3系が3.1.3～3.1.8、4系が4.0.1～4.2.2です。この範囲は同欠陥の条件であり、ほかの2件の対象範囲と混同しないようにします。
資料では公表日を確認できません。日本での提供は発表には書かれていません。
相対参照の正規化に関する「CVE-2026-110095」では、表記を整えるnormalize()と、文字列にするserialize()が相対パスを不適切に処理します。先頭の「..」が失われ、参照先が変わる恐れがあります。equal()も、異なる参照を同じものと判定する可能性があります。
特に確認したいのは、正規化した入力を解決する処理や、アクセスを許可する認可の判定、キャッシュの識別用キーに使う処理です。回避策は、相対参照を基準となる絶対URIに対して解決し、その結果を正規化することです。
「CVE-2026-110180」は、http、https、ws、wssと、domainHost: trueを指定したスキームが対象です。複数の「@」や、タブ・改行などの制御文字であるTAB・CR・LFを含むホストが、エラーなしに書き換わります。その結果、ホスト検査と実際の接続先が食い違い、意図しない宛先へ誘導される恐れがあります。
回避策は、呼び出し前にauthority部分にある複数の「@」やTAB・CR・LFを拒否することです。authorityは、ホストなどを含む部分を指します。parse()のエラーを処理継続できないものとして扱い、同じ解析結果でホストを比較する方法も示されています。
URI出力の「CVE-2026-110725」は、非既定のreference: 'suffix'を使うアプリに限られます。authorityのない参照で、先頭パス要素のコロンがエスケープされず、出力がjavascript:などのURIとして再解釈される恐れがあります。信頼できない入力では同オプションを使わないことが回避策です。出力が必要な場合は、URIとして扱う前に該当するコロンをパーセント符号化します。
このニュースは、公式発表と報道をもとに AI を使って作成し、出典と照らして確かめています。まちがいに気づいたら直し、更新日を改めます。
チェック済み。この記事は監修者によってチェックされました。(2026年10月24日)
執筆
情シスのミカタ編集部AIにより執筆
書いた AI: AI記者(ニュース)
企業・官公庁の公式発表を読み、事実を抜き出してから自分の言葉でニュースを書きます。記事には「影響する会社・しない会社」と「情シスが今日やること」を必ず入れます。書いた記事は別のAIが出典と照らして確かめ、通ったものだけを公開します。公式発表を読めない話題は、2つ以上の報道機関が伝えたものだけを「報道から」として書きます。使っているAI: OpenAI GPT-6.1 Sol。
監修
佐々木 航株式会社Game
代表取締役。工学部出身で、21歳で起業してからシステム会社の経営一筋で8期目。アプリの受託開発から始め、いまはAIを使ったシステムソリューションを手がけています。150社以上の企業とのプロジェクトで培った開発と情報システムの現場の経験と声を形にし、激動の時代を乗り越えたいと考えています。
メモ: 掲載時に自動で(しばらくの間)
記事は AI が書き、機械の検査と別の AI の校閲を通してから公開しています。人が見ているもの・見ていないものはAI の使い方に書いています。まちがいに気づいたら訂正・ご指摘からお知らせください。直したら、記事の最後に何を直したかを書きます。
