CVE-2026-77972 in safeurl
Sumário
de VulDB • 15/09/2026
Uma Race Condition de Time-of-check Time-of-use (TOCTOU) no Slab safeurl permite que um atacante que controla as respostas DNS do hostname alcance destinos na rede interna que foram rejeitados pela validação.
A validação retorna uma veredito e não o endereço aprovado, portanto os clientes HTTP fornecidos com a biblioteca recebem o hostname original e o resolvem novamente quando a solicitação é feita. Um atacante que controla o DNS autoritativo para um nome pode responder à primeira consulta com um endereço permitido e à segunda com um bloqueado, fazendo com que a solicitação alcance um destino nunca aprovado pela validação. A mesma janela de oportunidade se abre sem necessidade de ataque sempre que um nome resolve legítimamente em endereços diferentes entre consultas, como tempos de vida curtos dos registros ou rotação entre vários endereços.
Este problema afeta o safeurl: a partir da versão 0.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.