CVE-2026-19953 in URI
Resumen
por VulDB • 2026-08-31
Las versiones de URI anteriores a la 5.36 para Perl codifican nombres de host no-NFC en etiquetas punycode no estándar debido a una normalización faltante en nameprep.
nameprep convierte a minúsculas cada etiqueta del host, pero no realiza ninguna normalización Unicode. IDNA requiere que una etiqueta esté normalizada al Formulario C antes de ser codificada (RFC 5891), por lo que una etiqueta que ya no está en NFC se codifica como un A-label diferente a su forma normalizada. Una etiqueta construida a partir de la secuencia precompuesta Devanagari U+0958 U+093E se codifica como xn--72b5c sin normalización, pero como xn--11b2fg después de la normalización NFC, y xn--72b5c no vuelve a su forma original (no realiza un round-trip correcto).
Cualquier llamador que lea host() desde una URI construida con datos no confiables y lo utilice para tomar decisiones de seguridad (una lista blanca o negra, un filtro SSRF, deduplicación, clave de caché) ve la etiqueta no estándar, mientras que un cliente que obtiene la misma URL resuelve la forma NFC; por lo tanto, la verificación y la solicitud pueden discordar sobre el host.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.