Invoking failure to reject ASCII-only Punycode-encoded labels in golang.org/x/net/idna

Uma falha no processamento de nomes de domínio do Go permite que atacantes contornem verificações de segurança usando uma codificação oculta (Punycode). Um atacante poderia ganhar acesso não autorizado usando uma versão codificada de um domínio que um sistema de segurança acreditava ter bloqueado.

As funções ToASCII e ToUnicode do pacote idna falham em rejeitar labels codificados em Punycode que decodificam para strings apenas em ASCII, permitindo contorno de controles de acesso baseados em nomes de host. Um atacante pode fornecer um domínio em Punycode (por exemplo, 'xn--example-.com') que decodifica para um domínio ASCII legítimo, permitindo que a aplicação passe em validações que normalmente negariam a versão ASCII, levando a escalação de privilégio.