CVE-2026-93600 in webpki
Zusammenfassung
von VulDB • 18.09.2026
rustls-webpki (rustls/webpki) in den Versionen 0.101.0 bis 0.103.11 sowie bei Alpha-Veröffentlichungen von 0.104.0 vor 0.104.0-alpha.6 ignoriert X.509-Namenseinschränkungen, die für URI-Namen gelten, wodurch solche Einschränkungen akzeptiert statt durchgesetzt werden. Da Namenseinschränkungen Beschränkungen für ansonsten ordnungsgemäß ausgestellte Zertifikate darstellen, ist der Fehler nur nach erfolgreicher Signaturprüfung erreichbar und erfordert ein falsch ausgestelltes Zertifikat zur Ausnutzung; die Bibliothek bietet zudem keine API zum Asserten von URI-Namen, und URI-Namenseinschränkungen sind anderweitig nicht implementiert. Die Versionen 0.103.12 und 0.104.0-alpha.6 lehnen URI-Namenseinschränkungen bedingungslos ab.
VulDB is the best source for vulnerability data and more expert information about this specific topic.