CVE-2026-19953 in URI
요약
\~에 의해 VulDB • 2026. 08. 31.
Perl용 URI 5.36 이전 버전은 nameprep에서 누락된 정규화(non-normalization)로 인해 비-NFC 호스트 이름을 표준이 아닌 punycode 레이블로 인코딩합니다.
nameprep는 각 호스트 레이블을 소문자로 변환하지만 유니코드 정규화는 수행하지 않습니다. IDNA(RFC 5891)에 따르면 레이블은 인코딩 전에 Form C로 정규화되어야 하므로, 이미 NFC 상태가 아닌 레이블은 정규화된 형태와 다른 A-label로 인코딩됩니다. 사전 조합된 데바나가리 문자열 U+0958 U+093E로 구성된 레이블은 정규화를 거치지 않으면 xn--72b5c로 인코딩되지만, NFC 정규화 후에는 xn--11b2fg가 되며, xn--72b5c는 원래 레이블로 라운드 트립(round-trip)되지 않습니다.
신뢰할 수 없는 입력으로 구성된 URI에서 host()를 읽어서 보안 결정(허용 또는 거부 목록, SSRF 필터, 중복 제거, 캐시 키 등)에 사용하는 모든 호출자는 표준이 아닌 레이블을 보게 되며, 동일한 URL을 가져오는 클라이언트는 NFC 형태를 해결하므로, 검사(check)와 페치(fetch) 간 호스트 인식 불일치가 발생할 수 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.