CVE-2026-39821

总结

ToASCII 和 ToUnicode 函数错误地接受了 Punycode 编码的标签，而这些标签解码后仅包含 ASCII 字符。例如，ToUnicode("xn--example-.com") 错误地返回名称 "example.com"，而不是返回错误。此行为可能导致使用 idna 包的程序出现权限提升。例如，某个程序对 ASCII 主机名执行权限检查时可能拒绝 "example.com"，但允许 "xn--example-.com"。如果该程序随后将 ASCII 主机名转换为 Unicode，就会无意中允许访问 Unicode 名称 "example.com"。

来源

• vulnerability-pocPoC

  CVE 概念验证实验室、漏洞利用脚本以及检测/防护规则（Nginx、Apache、Snort、YARA），适用于高严重性 CVE。仅限授权安全测试与研究使用。