Średnia

url-parse Incorrectly parses URLs that include an '@'

Ujawniono: 18.02.2022
Aktualizacja: 11.10.2026 10:22

A specially crafted URL with an '@' sign but empty user info and no hostname, when parsed with url-parse, url-parse will return the incorrect href. In particular,

parse(\"http://@/127.0.0.1\")

Will return:

yaml

{
 slashes: true,
 protocol: 'http:',
 hash: '',
 query: '',
 pathname: '/127.0.0.1',
 auth: '',
 host: '',
 port: '',
 hostname: '',
 password: '',
 username: '',
 origin: 'null',
 href: 'http:///127.0.0.1'
 }

If the 'hostname' or 'origin' attributes of the output from url-parse are used in security decisions and the final 'href' attribute of the output is then used to make a request, the decision may be incorrect.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	url-parse	>= 1.0.0, < 1.5.7	1.5.7

Odnośniki

Ocena CVSS 6.5/10

Wektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Słabość (CWE): CWE-639
Platforma: npm
Paczka: url-parse
Ujawniono: 18.02.2022
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-8v38-pw62-9cw2 - CC BY 4.0

Historia podatności: url-parse

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 8
Pierwsza → ostatnia: 08.2018 02.2022
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 2
Średnia 6

Ujawnienia w latach

2018: 1
2019: 0
2020: 0
2021: 2
2022: 5
2023: 0
2024: 0
2025: 0
2026: 0

22.02.2022

url-parse incorrectly parses hostname / protocol due to unstripped leading control characters.

Średnia · 6.5 CVE-2022-0691 >= 0.1.0, < 1.5.9 1.5.9
21.02.2022

Authorization Bypass Through User-Controlled Key in url-parse

Krytyczna · 9.1 CVE-2022-0686 < 1.5.8 1.5.8
18.02.2022

url-parse Incorrectly parses URLs that include an '@' ten wpis

Średnia · 6.5 CVE-2022-0639 >= 1.0.0, < 1.5.7 1.5.7
15.02.2022

Authorization bypass in url-parse

Średnia · 5.3 CVE-2022-0512 >= 0.1.0, < 1.5.6 1.5.6
06.01.2022

Improper Validation and Sanitization in url-parse

Średnia · 5.3 CVE-2020-8124 >= 0.1.0, < 1.4.5 1.4.5
10.08.2021

Open redirect in url-parse

Średnia · 6.1 CVE-2021-3664 >= 0.1.0, < 1.5.2 1.5.2
06.05.2021

Path traversal in url-parse

Średnia · 5.3 CVE-2021-27515 >= 0.1.0, < 1.5.0 1.5.0
13.08.2018

Open Redirect in url-parse

Krytyczna · 10.0 CVE-2018-3774 >= 1.0.0, < 1.4.3 1.4.3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację