CRLF Injection in legacy url API (url.parse().hostname)
该报告还没有中文解读。
原文摘录
摘自原文（1602 字符中的一小部分）
There is CRLF Injection in legacy `url.hostname()` API.
原文中的代码
poc_url = "http://test1.com\n\rtest2.com"
const url = require('url');
console.log("Vulnerable: ", url.parse(poc_url).hostname)
console.log("\n")
const myURL = new URL(poc_url);
console.log("Not Vulnerable: ", myURL.hostname)默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Node.js 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @vavkamil · 版权归作者与 Node.js 所有