CVE-2026-77972
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Warunek wyścigu czasu użycia (TOCTOU) w polu Safeurl Slab umożliwia osobie atakującej kontrolującej odpowiedzi DNS nazwy hosta na dotarcie do miejsc docelowych w sieci wewnętrznej, które zostały odrzucone.
Walidacja zwraca werdykt, a nie zatwierdzony adres, więc klienci HTTP dostarczani przez bibliotekę otrzymują oryginalną nazwę hosta i rozpatrują ją po raz drugi po złożeniu żądania. Osoba atakująca, która kontroluje autorytatywny DNS dla nazwy, może odpowiedzieć na pierwsze wyszukiwanie, podając dozwolony adres, a na drugie, zablokowany, a następnie żądanie dociera do miejsca docelowego, które nigdy nie zostało zatwierdzone. To samo okno otwiera się bez atakującego, gdy nazwa w sposób zgodny z prawem jest tłumaczona na różne adresy podczas wyszukiwań, na przykład podczas krótkiego okresu istnienia rekordu lub rotacji między kilkoma adresami.
Ten problem dotyczy Safeurl: od wersji 0.1.0 i nowszych.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org