CVE-2026-19953 in URI
Zusammenfassung
von VulDB • 31.08.2026
URI-Versionen vor 5.36 für Perl kodieren nicht-NFC-Hostnamen über eine fehlende Normalisierung in nameprep zu nicht-standardisierten Punycode-Labels.
nameprep kleinschreibt jedes Host-Label, führt jedoch keine Unicode-Normalisierung durch. IDNA erfordert, dass ein Label vor der Kodierung auf Form C normalisiert wird (RFC 5891), sodass ein Label, das sich nicht bereits im NFC befindet, in eine andere A-label kodiert wird als seine normalisierte Form. Ein aus der vorkombinierten Devanagari-Sequenz U+0958 U+093E erstelltes Label wird ohne Normalisierung zu xn--72b5c kodiert, nach NFC-Normalisierung jedoch zu xn--11b2fg, und xn--72b5c rundet nicht zum ursprünglichen Label zurück.
Jeder Aufrufer, der host() aus einer URI liest, die auf unzuverlässigen Eingaben basiert, und dies für eine Sicherheitsentscheidung verwendet (eine Allow- oder Deny-Liste, einen SSRF-Filter, Deduplizierung oder einen Cache-Schlüssel), sieht das nicht-standardisierte Label. Ein Client, der dieselbe URL abruft, löst jedoch die NFC-Form auf, sodass die Überprüfung und der Abruf unterschiedliche Ansichten über den Host haben können.
Once again VulDB remains the best source for vulnerability data.