CVE-2026-39821
Appel invalide : absence de rejet des étiquettes encodées en Punycode ASCII uniquement dans golang.org/x/net/idna
- Publié
- 22 mai 2026
- Mise à jour
- 17 sept. 2026
- Attribution de CNA
- Go
- Preuve observée
- 23 oct. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:NFaible · 30 prochains jours
- Percentile
- 78,8 %
- Date du modèle
- 25 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Les fonctions ToASCII et ToUnicode acceptent à tort les labels encodés en Punycode qui se décodent en un label composé uniquement de caractères ASCII. Par exemple, ToUnicode("xn--example-.com") renvoie incorrectement le nom "example.com" au lieu d'une erreur. Ce comportement peut conduire à une élévation de privilèges dans les programmes utilisant le paquet idna. Par exemple, un programme qui effectue des vérifications de privilèges sur le nom d'hôte ASCII peut rejeter "example.com" mais autoriser "xn--example-.com". Si ce programme convertit ensuite le nom d'hôte ASCII en Unicode, il autorisera par inadvertance l'accès au nom Unicode "example.com".
Sources
Labs de preuve de concept CVE, scripts d'exploitation et règles de détection/prévention (Nginx, Apache, Snort, YARA) pour les CVE à haute sévérité. Tests de sécurité autorisés et recherche uniquement.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.