CVE-2026-39821
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Funkcje ToASCII i ToUnicode w bibliotece idna błędnie akceptują etykiety zakodowane w Punycode, które dekodują się do etykiet zawierających tylko ASCII, co może prowadzić do eskalacji uprawnień w programach używających tej biblioteki.
Ocena ryzyka
Atakujący może ominąć kontrole dostępu oparte na nazwach hostów, uzyskując nieautoryzowany dostęp do zasobów, co stanowi zagrożenie dla bezpieczeństwa aplikacji.
Rekomendacja
Zaleca się aktualizację biblioteki idna do wersji, która poprawnie odrzuca takie etykiety, oraz wdrożenie dodatkowych walidacji nazw hostów.
Oryginalny opis (angielski, źródło NVD)
The ToASCII and ToUnicode functions incorrectly accept Punycode-encoded labels that decode to an ASCII-only label. For example, ToUnicode("xn--example-.com") incorrectly returns the name "example.com" rather than an error. This behavior can lead to privilege escalation in programs using the idna package. For example, a program which performs privilege checks on the ASCII hostname may reject "example.com" but permit "xn--example-.com". If that program subsequently converts the ASCII hostname to Unicode, it will inadvertently permits access to the Unicode name "example.com".