CVE-2020-28522 decode-uri-component DoS Vulnerability Advisory and Analysis

Vulnerability Overview This vulnerability affects the function within the library. The flaw allows an attacker to trigger an exception by providing crafted input, potentially leading to a Denial of Service (DoS) attack. Impact Scope Library Name: Affected Versions: Not explicitly specified, but the fixed version is CVE ID: CVE-2020-28522 Remediation 1. Rewrite the Decoder: The decoder has been rewritten as a single-pass UTF-8 scanner to improve efficiency and security. 2. Expand Test Coverage: Additional test cases have been added to ensure proper handling of various edge cases and erroneous inputs. POC Code Below is a comparison of the key code before and after the fix: Before Fix After Fix Test Cases Significant test cases were added following the fix, covering valid inputs, invalid inputs, and edge cases, to ensure the robustness and security of the function. ```javascript const validInputTests = { '': '', 'abc': 'abc', '%20': ' ', '%2B': '+', '%2D': '-', '%2E': '.', '%3F': '?', '%40': '@', '%5B': '[', '%5D': ']', '%7B': '{', '%7D': '}', '%7F': '\x7F', '%80': '\x80', '%81': '\x81', '%82': '\x82', '%83': '\x83', '%84': '\x84', '%85': '\x85', '%86': '\x86', '%87': '\x87', '%88': '\x88', '%89': '\x89', '%8A': '\x8A', '%8B': '\x8B', '%8C': '\x8C', '%8D': '\x8D', '%8E': '\x8E', '%8F': '\x8F', '%90': '\x90', '%91': '\x91', '%92': '\x92', '%93': '\x93', '%94': '\x94', '%95': '\x95', '%96': '\x96', '%97': '\x97', '%98': '\x98', '%99': '\x99', '%9A': '\x9A', '%9B': '\x9B', '%9C': '\x9C', '%9D': '\x9D', '%9E': '\x9E', '%9F': '\x9F', '%A0': '\xA0', '%A1': '\xA1', '%A2': '\xA2', '%A3': '\xA3', '%A4': '\xA4', '%A5': '\xA5', '%A6': '\xA6', '%A7': '\xA7', '%A8': '\xA8', '%A9': '\xA9', '%AA': '\xAA', '%AB': '\xAB', '%AC': '\xAC', '%AD': '\xAD', '%AE': '\xAE', '%AF': '\xAF', '%B0': '\xB0', '%B1': '\xB1', '%B2': '\xB2', '%B3': '\xB3', '%B4': '\xB4', '%B5': '\xB5', '%B6': '\xB6', '%B7': '\xB7', '%B8': '\xB8', '%B9': '\xB9', '%BA': '\xBA', '%BB': '\xBB', '%BC': '\xBC', '%BD': '\xBD', '%BE': '\xBE', '%BF': '\xBF', '%C0': '\xC0', '%C1': '\xC1', '%C2': '\xC2', '%C3': '\xC3', '%C4': '\xC4', '%C5': '\xC5', '%C6': '\xC6', '%C7': '\xC7', '%C8': '\xC8', '%C9': '\xC9', '%CA': '\xCA', '%CB': '\xCB', '%CC': '\xCC', '%CD': '\xCD', '%CE': '\xCE', '%CF': '\xCF', '%D0': '\xD0', '%D1': '\xD1', '%D2': '\xD2', '%D3': '\xD3', '%D4': '\xD4', '%D5': '\xD5', '%D6': '\xD6', '%D7': '\xD7', '%D8': '\xD8', '%D9': '\xD9', '%DA': '\xDA', '%DB': '\xDB', '%DC': '\xDC', '%DD': '\xDD', '%DE': '\xDE', '%DF': '\xDF', '%E0': '\xE0', '%E1': '\xE1', '%E2': '\xE2', '%E3': '\xE3', '%E4': '\xE4', '%E5': '\xE5', '%E6': '\xE6', '%E7': '\xE7', '%E8': '\xE8', '%E9': '\xE9', '%EA': '\xEA', '%EB': '\xEB', '%EC': '\xEC', '%ED': '\xED', '%EE': '\xEE', '%EF': '\xEF', '%F0': '\xF0', '%F1': '\xF1', '%F2': '\xF2', '%F3': '\xF3', '%F4': '\xF4', '%F5': '\xF5', '%F6': '\xF6', '%F7': '\xF7', '%F8': '\xF8', '%F9': '\xF9', '%FA': '\xFA', '%FB': '\xFB', '%FC': '\xFC', '%FD': '\xFD', '%FE': '\xFE', '%FF': '\xFF' }; const invalidInputTests = { '%': '%', '%2': '%2', '%2G': '%2G', '%2g': '%2g', '%20%': '%20%', '%20%2': '%20%2', '%20%2G': '%20%2G', '%20%2g': '%20%2g', '%20%20': '%20%20', '%20%20%': '%20%20%', '%20%20%2': '%20%20%2', '%20%20%2G': '%20%20%2G', '%20%20%2g': '%20%20%2g', '%20%20%20': '%20%20%20', '%20%20%20%': '%20%20%20%', '%20%20%20%2': '%20%20%20%2', '%20%20%20%2G': '%20%20%20%2G', '%20%20%20%2g': '%20%20%20%2g', '%20%20%20%20': '%20%20%20%20', '%20%20%20%20%': '%20%20%20%20%', '%20%20%20%20%2': '%20%20%20%20%2', '%20%20%20%20%2G': '%20%20%20%20%2G', '%20%20%20%20%2g': '%20%20%20%20%2g', '%20%20%20%20%20': '%20%20%20%20%20', '%20%20%20%20%20%': '%20%20%20%20%20%', '%20%20%20%20%20%2': '%20%20%20%20%20%2', '%20%20%20%20%20%2G': '%20%20%20%20%20%2G', '%20%20%20%20%20%2g': '%20%20%20%20%20%2g', '%20%20%20%20%20%20': '%20%20%20%20%20%20', '%20%20%20%20%20%20%': '%20%20%20%20%20%20%', '%20%20%20%20%20%20%2': '%20%20%20%20%20%20%2', '%20%20%20%20%20%20%2G': '%20%20%20%20%20%20%2G', '%20%20%20%20%20%20%2g': '%20%20%20%20%20%20%2g', '%20%20%20%20%20%20%20': '%20%20%20%20%20%20%20', '%20%20%20%20%20%20%20%': '%20%20%20%20%20%20%20%', '%20%20%20%20%20%20%20%2': '%20%20%20%20%20%20%20%2', '%20%20%20%20%20%20%20%2G': '%20%20%20%20%20%20%20%2G', '%20%20%20%20%20%20%20%2g': '%20%20%20%20%20%20%20%2g', '%20%20%20%20%20%20%20%20': '%20%20%20%20%20%20%20%20', '%20%20%20%20%20%20%20%20%': '%20%20%20%20%20%20%20%20%', '%20%20%20%20%20%20%20%20%2': '%20%20%20%20%20%20%20%20%2', '%20%20%20%20%20%20%20%20%2G': '%20%20%20%20%20%20%20%20%2G', '%20%20%20%20%20%20%20%20%2g': '%20%20%20%20%20%20%20%20%2g', '%20%20%20%20%20%20%20%20%20': '%20%20%20%20%20%20%20%20%20', '%20%20%20%20%20%20%20%20%20%': '%20%20%20%20%20%20%20%20%20%', '%20%20%20%20%20%20%20%20%20%2': '%20%20%20%20%20%20%20%20%20%2', '%20%20%20%20%20%20%20%20%20%2G': '%20%20%20%20%20%20%20%20%20%2G', '%20%20%20%20%20%20%20%20%20%2g': '%20%20%20%20%20%20%20%20%20%2g', '%20%20%20%20%20%20%20%20%20%20': '%20%20%20%20%20%20%20%20%20%20', '%

Goal Reached Thanks to every supporter — we hit 100%!

CVE-2020-28522 decode-uri-component DoS Vulnerability Advisory and Analysis

More from this source