Podatności uri-js

Słabość została zidentyfikowana w garycourt uri-js do wersji 4.4.1. Dotyczy funkcji URI.parse w pliku src/schemes/mailto.ts komponentu Mailto Header Handler. Manipulacja argumentem powoduje nieprzechwycony wyjątek. Atak może być inicjowany zdalnie. Exploit został udostępniony publicznie i może być używany do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.

Biblioteka uri-js w wersjach do 4.4.1 zawiera błąd nieprawidłowego dekodowania UTF-8 w funkcji pctDecChars(), która zamienia nieprawidłowe i zbyt długie sekwencje procentowe na metaznaki ASCII. Atakujący może przygotować specjalnie zakodowane ładunki, aby ominąć walidację dekodera platformy i wstrzyknąć sekwencje path traversal lub CRLF, które kolejne komponenty przetwarzają bez filtrowania.

Biblioteka uri-js do wersji 4.4.1 zawiera podatność typu denial of service w funkcji removeDotSegments, która zapętla się w nieskończoność, gdy segment ścieżki zaczyna się od unicode'owych separatorów wiersza lub akapitu. Atakujący może to wywołać bezpośrednio przez removeDotSegments lub przez funkcje normalize/resolve z włączoną obsługą IRI, blokując pętlę zdarzeń Node.js do wyczerpania sterty.