CVE-2026-54272 in ip-address
الملخص
بحسب VulDB • 27/07/2026
ip-address هي مكتبة لتحليل وعناوين IPv4 وIPv6 في JavaScript. الإصدارات من 10.1.1 إلى 10.2.0 معرضة لثغرة SSRF بسبب التصنيف الخاطئ لعناوين IPv6 الممثلة للـ IPv4 أو عناوين NAT64 الخاصة بـ IPv6. تصنف الفئة Address6.getType() العنوان عن طريق مطابقته مع جدول يحتوي على بادئات خاصة محددة مسبقاً للعناوين IPv6، وتعيد قيمة Global unicast عندما لا يوجد تطابق. لم يكن هذا الجدول يحتوي على إدخال لنطاق العناوين الممثلة للـ IPv4 (::ffff:0:0/96)، لذا فإن كل عنوان ممثّل تم تصنيفه كعنوان عالمي غير متعدد الإرسال؛ بينما عُدّت عناوين NAT64 مطابقةً لعلامات NAT64 الخاصة بها. كانت الاختبارات المنطقية isLoopback وisUnspecified وisMulticast تقارن نتيجة getType() بعلامة ثابتة، وبالتالي تعيد قيمة false، في حين أن isLinkLocal وULA تتحقق فقط من نطاقات IPv6 الأصلية. كانت المكتبة تعرض بالفعل الدالتين isMapped4() وto4()، لكنها لم تطبقهما داخل هذه الاختبارات، لذا فإن العنوان الممثر أو عنوان NAT64 لم يتم تحويله إلى عنوان IPv6 الأصلي قبل التصنيف. بالنسبة للعناوين الممثلة للـ IPv4، يقوم نظام التشغيل بتوجيه الطلبات إلى طبقة IPv4، وبالتالي يمكن الوصول إلى الثغرة الناتجة عن هذا الخطأ في أي مضيف يدعم كلا البروتوكولين (Dual-Stack). أما بالنسبة لـ NAT64، فإن تجاوز التصنيف غير مشروط، لكن إمكانية الوصول من طرف إلى آخر تتطلب أيضاً وجود بوابة NAT64/DNS64 ضمن شبكة النشر. تم إصلاح هذه المشكلة في الإصدار 10.2.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.