CVE-2026-39821
golang.org/x/net/idna में केवल-ASCII Punycode-एन्कोडेड लेबल को अस्वीकार करने में विफलता को आमंत्रित करना
- प्रकाशित
- 22 मई 2026
- अद्यतन
- 17 सित॰ 2026
- सीएनए असाइन करना
- Go
- साक्ष्य देखे गए
- 23 अक्टू॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:Nकम · अगले 30 दिन
- प्रतिशत
- 52.2%
- मॉडल दिनांक
- 21 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
ToASCII और ToUnicode फ़ंक्शन गलती से ऐसे Punycode-एन्कोडेड लेबल स्वीकार कर लेते हैं जो डिकोड होने पर केवल-ASCII लेबल बनते हैं। उदाहरण के लिए, ToUnicode("xn--example-.com") गलती से "example.com" नाम लौटाता है, त्रुटि के बजाय। यह व्यवहार idna पैकेज का उपयोग करने वाले प्रोग्रामों में विशेषाधिकार वृद्धि (privilege escalation) का कारण बन सकता है। उदाहरण के लिए, एक प्रोग्राम जो ASCII होस्टनेम पर विशेषाधिकार जाँच करता है, "example.com" को अस्वीकार कर सकता है लेकिन "xn--example-.com" को अनुमति दे सकता है। यदि वह प्रोग्राम बाद में ASCII होस्टनेम को Unicode में परिवर्तित करता है, तो वह अनजाने में Unicode नाम "example.com" तक पहुँच की अनुमति दे देगा।
स्रोत
CVE प्रूफ-ऑफ-कॉन्सेप्ट लैब, एक्सप्लॉइट स्क्रिप्ट, और उच्च-गंभीरता वाले CVE के लिए डिटेक्शन/प्रिवेंशन नियम (Nginx, Apache, Snort, YARA)। केवल अधिकृत सुरक्षा परीक्षण और शोध के लिए।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।