fast-uri 修复 URI scheme 伪造漏洞

GitHub 安全公告库发布通告称，fast-uri 在校验前用全局 unescape() 对 URI 的 scheme 部分做百分号解码，导致 normalize('%6Aavascript:alert(1)') 返回 javascript:alert(1)，即解码后本应危险的 scheme 被当作有效 scheme 输出。 该漏洞编号为 GHSA-w74x-v6f9-j3xg，已在 fast-uri 2.4.8、3.1.9、4.2.3 版本修复。公告同时建议，拒绝 scheme 部分（第一个“:”之前，以及任何“/”“?”“#”之前）含“%”的输入。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。