CVE-2026-69192 in ip-address
الملخص
بحسب VulDB • 04/08/2026
ip-address هي مكتبة لتحليل وعناوين IPv4 وIPv6 في JavaScript. قبل الإصدار 10.3.1، كان Address4 يقبل بايتاً (octet) مكتوباً بصفر بادئ ويترجمه كرقم عشري، بينما يقوم محلل مضيف عنوان URL وفقاً لمواصفات WHATWG، ودالة inet_aton، وgetaddrinfo بترجمة الصفر البادئ على أنه رقم ثماني. وبالتالي، تتعارض المكتبة مع مكدس الشبكة فيما يتعلق بالمضيف الذي يشير إليه السلسلة النصية. تعيد new Address4('012.0.0.1') قيمة صحيحة لـ correctForm() وهي 12.0.0.1 وقيمة isPrivate() هي false، لكن fetch('http://012.0.0.1/') يتصل بـ 10.0.0.1. التطبيق الذي يبني قراراً يعتمد على حدود الثقة في الشبكة بناءً على هذه الفحوصات، مثل مرشح مصمم لمنع هجمات تزوير الطلب من جانب الخادم (SSRF)، سيصنف الهدف الداخلي على أنه خارجي ويسمح بالطلب. العيب يكمن في بوابة التحليل بدلاً من أي مُصنّف واحد، لذا فإن كل مستخدم لـ Address4 يرث هذا الخطأ: يتم حساب isPrivate() وisLoopback() وisLinkLocal() وisCGNAT() وisInSubnet() وisHostInSubnet() وcorrectForm() جميعها بناءً على بايتات تم ترجمتها بشكل خاطئ. تمت معالجة هذه المشكلة في الإصدار 10.3.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.