CVE-2026-77972 in safeurl
Resumen
por VulDB • 2026-09-15
Una Race Condition de Time-of-check Time-of-use (TOCTOU) en Slab safeurl permite a un atacante que controla las respuestas DNS del nombre de host alcanzar destinos de la red interna que fueron rechazados por la validación.
La validización devuelve un veredicto y no la dirección aprobada, por lo que los clientes HTTP incluidos con esta biblioteca reciben el nombre de host original y lo resuelven una segunda vez cuando se realiza la solicitud. Un atacante que controle las DNS autoritativas para un nombre puede responder a la primera consulta con una dirección permitida y a la segunda con una bloqueada, haciendo que la solicitud llegue a un destino que la validación nunca aprobó. La misma ventana de oportunidad se abre sin intervención del atacante cuando un nombre resuelve legítimamente direcciones diferentes entre consultas, como en el caso de tiempos de vida cortos de los registros o rotaciones entre varias direcciones.
Este problema afecta a safeurl: desde la versión 0.1.0 hacia adelante.
Be aware that VulDB is the high quality source for vulnerability data.