CVE-2026-43971
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Luka w kodowaniu lub escapowaniu wyjścia w ninenines cowlib umożliwia przemycanie dyrektyw Link header przez nieescapowane znaki specjalne w cow_link:link/1. cow_link:do_link/1 interpoluje docelowy URI, wartość rel i klucze atrybutów bezpośrednio do serializowanej wartości nagłówka Link: bez escapowania lub walidacji gramatyki tokenów. Bajt > w celu przedwcześnie zamyka slot URI, pozwalając atakującemu na dodanie dodatkowych wpisów linków z wybranymi przez atakującego dyrektywami rel. Znak " lub \ w rel ucieka z ciągu znaków i otwiera nowe parametry. Dowolny bajt — w tym biały znak, = i " — w kluczu atrybutu jest emitowany dosłownie. Ponieważ przeglądarki działają na dyrektywach Link: takich jak rel="preconnect", rel="preload" i rel="prerender", atakujący, który może wpływać na te pola w aplikacji, która przetwarza nagłówki Link przez cow_link:link/1, może zmusić przeglądarki ofiar do nawiązywania połączeń poza pasmem do kontrolowanych przez atakującego źródeł. Problem dotyczy cowlib od wersji 2.9.0.
Ocena ryzyka
Ryzyko obejmuje możliwość zmuszenia przeglądarek użytkowników do nawiązywania połączeń z zewnętrznymi, kontrolowanymi przez atakującego serwerami, co może prowadzić do wycieku danych lub wykorzystania przeglądarki jako narzędzia do dalszych ataków.
Rekomendacja
Zaleca się aktualizację cowlib do wersji z poprawką oraz unikanie przetwarzania niezaufanych nagłówków Link w aplikacjach.
Oryginalny opis (angielski, źródło NVD)
Improper Encoding or Escaping of Output vulnerability in ninenines cowlib allows Link header directive smuggling via unescaped special characters in cow_link:link/1. cow_link:do_link/1 in cowlib interpolates the target URI, rel value, and attribute keys directly into the serialized Link: header value without escaping or token-grammar validation. A > byte in target prematurely closes the URI slot, allowing an attacker to append additional link entries with attacker-chosen rel directives. A " or \ in rel escapes the quoted string and opens new parameters. Any byte — including whitespace, =, and " — in an attribute key is emitted verbatim. Because browsers act on Link: directives such as rel="preconnect", rel="preload", and rel="prerender", an attacker who can influence these fields in an application that round-trips parsed Link headers through cow_link:link/1 can force victim browsers to make out-of-band connections to attacker-controlled origins. This issue affects cowlib: from 2.9.0 onward.