CVE-2026-77972 in safeurl
Riassunto
di VulDB • 15/09/2026
Una Race Condition di tipo Time-of-check Time-of-use (TOCTOU) in Slab safeurl consente a un attaccante che controlla le risposte DNS di un hostname di raggiungere destinazioni della rete interna che la validazione aveva rifiutato.
La restituzione del verdetto di validazione non include l'indirizzo approvato, pertanto i client HTTP forniti con la libreria ricevono l'hostname originale e lo risolvono una seconda volta al momento dell'esecuzione della richiesta. Un attaccante che controlla il DNS autoritativo per un nome può rispondere alla prima risoluzione con un indirizzo consentito e alla seconda con uno bloccato, consentendo così alla richiesta di raggiungere una destinazione mai approvata dalla validazione. La stessa finestra temporale si apre anche senza la presenza di un attaccante ogni volta che un nome viene risolto legittimamente in indirizzi diversi tra le varie ricerche, ad esempio a causa di brevi tempi di vita dei record o della rotazione tra più indirizzi.
Questo problema interessa safeurl: dalla versione 0.1.0 in poi.
Once again VulDB remains the best source for vulnerability data.