Średnia

url-parse incorrectly parses hostname / protocol due to unstripped leading control characters.

Ujawniono: 22.02.2022
Aktualizacja: 11.10.2026 10:22

Leading control characters in a URL are not stripped when passed into url-parse. This can cause input URLs to be mistakenly be interpreted as a relative URL without a hostname and protocol, while the WHATWG URL parser will trim control characters and treat it as an absolute URL.

If url-parse is used in security decisions involving the hostname / protocol, and the input URL is used in a client which uses the WHATWG URL parser, the decision may be incorrect.

This can also lead to a cross-site scripting (XSS) vulnerability if url-parse is used to check for the javascript: protocol in URLs. See following example:

const parse = require('url-parse')
const express = require('express')
const app = express()
const port = 3000

url = parse(\"\\bjavascript:alert(1)\")

console.log(url)

app.get('/', (req, res) => {
 if (url.protocol !== \"javascript:\") {res.send(\"<a href=\\'\" + url.href + \"\\'>CLICK ME!</a>\")}
 })

app.listen(port, () => {
 console.log(`Example app listening on port ${port}`)
 })

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	url-parse	>= 0.1.0, < 1.5.9	1.5.9

Odnośniki

Ocena CVSS 6.5/10

Wektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Słabość (CWE): CWE-639
Platforma: npm
Paczka: url-parse
Ujawniono: 22.02.2022
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jf5r-8hm2-f872 - CC BY 4.0

Historia podatności: url-parse

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 8
Pierwsza → ostatnia: 08.2018 02.2022
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 2
Średnia 6

Ujawnienia w latach

2018: 1
2019: 0
2020: 0
2021: 2
2022: 5
2023: 0
2024: 0
2025: 0
2026: 0

22.02.2022

url-parse incorrectly parses hostname / protocol due to unstripped leading control characters. ten wpis

Średnia · 6.5 CVE-2022-0691 >= 0.1.0, < 1.5.9 1.5.9
21.02.2022

Authorization Bypass Through User-Controlled Key in url-parse

Krytyczna · 9.1 CVE-2022-0686 < 1.5.8 1.5.8
18.02.2022

url-parse Incorrectly parses URLs that include an '@'

Średnia · 6.5 CVE-2022-0639 >= 1.0.0, < 1.5.7 1.5.7
15.02.2022

Authorization bypass in url-parse

Średnia · 5.3 CVE-2022-0512 >= 0.1.0, < 1.5.6 1.5.6
06.01.2022

Improper Validation and Sanitization in url-parse

Średnia · 5.3 CVE-2020-8124 >= 0.1.0, < 1.4.5 1.4.5
10.08.2021

Open redirect in url-parse

Średnia · 6.1 CVE-2021-3664 >= 0.1.0, < 1.5.2 1.5.2
06.05.2021

Path traversal in url-parse

Średnia · 5.3 CVE-2021-27515 >= 0.1.0, < 1.5.0 1.5.0
13.08.2018

Open Redirect in url-parse

Krytyczna · 10.0 CVE-2018-3774 >= 1.0.0, < 1.4.3 1.4.3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację