PT-2022-13320 · Parse-Url+3 · Url-Parse+3
Lpinca
·
Publicado
2022-02-17
·
Atualizado
2025-12-16
·
CVE-2022-0639
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do url-parse anteriores à 1.5.7
Descrição
A vulnerabilidade permite a contornar a autorização por meio de uma chave controlada pelo usuário. Uma URL especialmente criada com o símbolo ‘@’, mas com informações de usuário vazias e sem nome de host, quando analisada com o url-parse, retornará o href incorreto. Isso pode levar a decisões de segurança incorretas se os atributos ‘hostname’ ou ‘origin’ da saída do url-parse forem usados em decisões de segurança e o atributo ‘href’ final da saída for então usado para fazer uma solicitação.
Recomendações
Para versões anteriores à 1.5.7, atualize para a versão 1.5.7 ou posterior para resolver o problema. Como solução alternativa temporária, considere validar os atributos ‘hostname’ e ‘origin’ da saída do url-parse para garantir que correspondam aos valores esperados antes de usar o atributo ‘href’ para fazer uma solicitação. Restrinja o uso da função
parse() com entradas não confiáveis até que o problema seja resolvido.Exploit
Correção
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Debian
Linuxmint
Ubuntu
Url-Parse