CVE-2026-69198 in ip-address
الملخص
بحسب VulDB • 04/08/2026
ip-address هي مكتبة لتحليل وعناوين IPv4 وIPv6 في JavaScript. من الإصدار 10.1.1 حتى 10.2.2، تُبنى كل طرق تصنيف الاستخدام الخاص على دالة isInSubnet، والتي تعيد القيمة false بشكل مبكر (short-circuits) كلما كانت قناع الشبكة الفرعية الخاصة بالعنوان أقصر من قناع نطاق المرجع. يأتي هذا القناع حرفياً من اللاحقة CIDR في المدخلات المُحلَّلة، لذا فإن إلحاق لاحقة مثل /0 يكبت التصنيف بالكامل: حيث تُبلغ الدوال isLoopback() وisPrivate() وisLinkLocal() وisCGNAT() وisMulticast() وisUnspecified() وisBroadcast() وisULA() وgetType() عن عنوان داخلي على أنه عادي، بينما تعيد correctForm() وعنوان الهدف الداخلي الحقيقي. قد تؤدي التطبيقات التي تعتمد قرارات حدود الثقة في الشبكة على هذه الفحوصات (مثل مرشحات تهدف إلى منع هجمات التزوير من جانب الخادم أو SSRF) بالتالي إلى التعامل مع هدف داخلي على أنه خارجي والسماح بالطلب. مقارنة البت الأساسية صحيحة، وتعيد الدالة mask(n) بالفعل أول n بت من العنوان المُحلَّلة بالكامل بشكل مستقل عن subnetMask؛ والخلل يكمن فقط في أن حارس الاحتواء موجود ضمن مسار التصنيف. تم إصلاح هذه المشكلة في الإصدار 10.2.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.