CVE-2023-28628 in uri
Tóm tắt
Bởi VulDB • 20/05/2026
lambdaisland/uri là một thư viện URI thuần Clojure/ClojureScript. Trong các phiên bản trước 1.14.120, `authority-regex` cho phép kẻ tấn công gửi các URL độc hại để được `lambdaisland/uri` phân tích cú pháp và trả về quyền hạn (authority) sai. Vấn đề này tương tự nhưng khác biệt với CVE-2020-8910. Biểu thức chính quy (regex) liên quan không xử lý đúng ký tự dấu gạch chéo ngược (`\`) trong tên người dùng, dẫn đến kết quả đầu ra sai. Ví dụ: một payload `https://example.com\\@google.com` sẽ trả về rằng máy chủ là `google.com`, nhưng máy chủ đúng phải là `example.com`. Vì thư viện trả về quyền hạn sai, vấn đề này có thể bị lợi dụng để vượt qua các hạn chế về máy chủ tùy thuộc vào cách thư viện được sử dụng trong một ứng dụng. Người dùng được khuyến nghị nâng cấp. Không có các giải pháp tạm thời (workarounds) nào được biết đến cho lỗ hổng này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.