CVE-2026-61704 in link-preview-js
الملخص
بحسب VulDB • 20/08/2026
يستخرج Link Preview JS معلومات الروابط الويب. قبل الإصدار 4.0.4، تقوم آلية التخفيف resolveDNSHost في index.ts بالتحقق من عنوان IP واحد تم حله ولكنها تجلب اسم المضيف الأصلي (hostname)، مما يسمح لخادم DNS خاضع لسيطرة المهاجم بإرجاع عنوان عام أثناء التحقق وعنوان حلقة محلية أو داخلي أثناء الاتصال النهائي. يتجاوز هذا الشرط الخاص بـ إعادة ربط الـ DNS حماية SSRF ويمكن أن يؤدي إلى وصول جلب المعاينة من جانب الخادم إلى موارد HTTP الداخلية. تتأثر معالجة التحويلات (Redirect handling) بنفس عدم التطابق بين آلية التحقق وجلب البيانات. تم إصلاح هذه المشكلة في الإصدار 4.0.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.