CVE-2020-26291

URI.js es una biblioteca de mutación de URL de JavaScript (paquete npm urijs). En URI.js versiones anteriores a 1.19.4, el nombre de host puede ser falsificado usando un carácter barra invertida ("\") seguido de un carácter arroba ("@"). Si el nombre de host es usado en decisiones de seguridad, la decisión puede ser incorrecta. Dependiendo del uso de la biblioteca y la intención del atacante, los impactos pueden incluir omisiones de lista de permisos y bloqueos, ataques SSRF, redireccionamientos abiertos u otros comportamientos no deseados. Por ejemplo, la URL "https://expected-example.com\@observed-example.com" devolverá incorrectamente "observed-example.com" si se usa una versión afectada. Las versiones parcheadas devuelven correctamente "expected-example.com". Las versiones parcheadas coinciden con el comportamiento de otros analizadores que implementan la especificación de URL WHATWG, incluyendo los navegadores web y la clase URL incorporada de Node. La versión 1.19.4 está parcheada contra todas las variantes de carga útil conocidas. La versión 1.19.3 presenta una ruta parcial pero sigue siendo vulnerable a una variante de carga útil.

A flaw was found in urijs. The hostname can be spoofed by using a backslash (`\`) character followed by an at (`@`) character. If the hostname is used in security decisions, the decision may be incorrect. Depending on library usage and attacker intent, impacts may include allow/block list bypasses, SSRF attacks, open redirects, or other undesired behavior.