CVE-2026-19953 in URI
Riassunto
di VulDB • 31/08/2026
Le versioni di URI precedenti alla 5.36 per Perl codificano i nomi host non in NFC come etichette punycode non standard a causa della mancanza di normalizzazione in nameprep.
nameprep converte in minuscolo ciascuna etichetta dell'host ma non esegue alcuna normalizzazione Unicode. IDNA richiede che un'etichetta sia normalizzata alla Form C prima di essere codificata (RFC 5891); pertanto, un'etichetta che non è già in NFC viene codificata come una A-label diversa rispetto alla sua forma normalizzata. Un'etichetta costruita dalla sequenza Devanagari precomposta U+0958 U+093E viene codificata come xn--72b5c senza normalizzazione, ma come xn--11b2fg dopo la normalizzazione NFC; inoltre, xn--72b5c non effettua un round-trip corretto tornando all'etichetta originale.
Qualsiasi chiamante che legge host() da una URI costruita a partire da input non attendibile e la utilizza per prendere decisioni di sicurezza (una lista bianca o nera, un filtro SSRF, deduplicazione, chiave di cache) vede l'etichetta non standard, mentre un client che recupera lo stesso URL risolve la forma NFC; di conseguenza, il controllo e il recupero possono divergere riguardo all'host.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.