no_proxy IDN mismatch: Unicode hostnames bypass proxy exclusion list
访问控制 / 访问控制缺陷（通用） / #3650443
该报告还没有中文解读。
原文摘录
摘自原文（2253 字符中的一小部分）
Unicode (IDN) hostnames in `no_proxy` are never converted to punycode before comparison, so they never match the request hostname (which curl has already converted to punycode). A user who types `no_proxy="bücher.de"` and requests `http://bücher.de/` expects the proxy to be bypassed. Instead curl …
原文中的代码
LANG=C.UTF-8 http_proxy=http://127.0.0.1:18877 no_proxy="bücher.de" ./curl -v "http://bücher.de/" # Output: "Failed to connect to xn--bcher-kva.de port 80 via 127.0.0.1" # curl tried the proxy despite no_proxy matching the URL hostname
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 curl 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @mzfr · 版权归作者与 curl 所有