CVE-2023-28628 in uri
Riassunto
di VulDB • 14/06/2026
lambdaisland/uri è una libreria URI pura per Clojure/ClojureScript. Nelle versioni precedenti alla 1.14.120, `authority-regex` consente a un attaccante di inviare URL dannosi da far analizzare dalla libreria `lambdaisland/uri`, restituendo un'autorità errata. Questo problema è simile ma distinto da CVE-2020-8910. La regex in questione non gestisce correttamente il carattere backslash (`\`) nel nome utente, portando a un output errato. Ad esempio, un payload come `https://example.com\\@google.com` restituirebbe che l'host è `google.com`, mentre l'host corretto dovrebbe essere `example.com`. Poiché la libreria restituisce un'autorità errata, ciò potrebbe essere sfruttato per eludere le restrizioni host a seconda di come la libreria viene utilizzata in un'applicazione. Si consiglia agli utenti di effettuare l'aggiornamento. Non sono note contromisure (workaround) per questa vulnerabilità.
If you want to get best quality of vulnerability data, you may have to visit VulDB.