GitHub 安全公告库 (GHSA)·2026-10-24 05:37· 3 小时前精选AI 评分58

fast-uri 因未校验 WHATWG 主机规范化存在主机混淆漏洞

fast-uri vulnerable to host confusion via unchecked WHATWG host canonicalization

AI 导读

GitHub 安全公告指出 fast-uri 的 2.4.2 至 4.2.2 多个版本在解析 http、https、ws、wss 等 URL 时，canonicalizeHost() 直接采用 WHATWG URL 解析器的 hostname 而不校验其是否读完整个输入。

为什么值得看

通告说明了 fast-uri 主机规范化导致的策略绕过条件，并给出三个分支的修复版本与规避写法。