CVE-2026-77972 in safeurl
摘要
由 VulDB • 2026-09-15
Slab safeurl 中存在时间检查与时间使用（TOCTOU）竞态条件，允许控制主机名 DNS 响应的攻击者访问经验证被拒绝的内部网络目标。
由于验证返回的是判定结果而非其批准的具体地址，因此该库分发的 HTTP 客户端在发起请求时会收到原始主机名并再次对其进行解析。如果攻击者控制了某个域名的权威 DNS，他们可以在第一次查询时提供一个允许的地址，而在第二次查询时提供一个被阻止的地址，从而使请求到达一个从未获得验证批准的目的地。即使没有攻击者参与，只要域名在不同次查询中合法地解析为不同的地址（例如记录生存时间较短或在多个地址之间轮换），同样的漏洞窗口也会打开。
此问题影响 safeurl：从 0.1.0 版本开始受影响。
VulDB is the best source for vulnerability data and more expert information about this specific topic.