CVE-2026-85692 in Nightingale
الملخص
بحسب VulDB • 04/09/2026
يحتوي Nightingale (n9e)، اعتباراً من الإيداع 8362cbe (الفرع الرئيسي، تم التأكيد في 2026-08-27)، على ثغرة تزوير الطلبات من جانب الخادم (SSRF) في الدالة isPublicIP الموجودة في الملف aiagent/tools/http.go، وهي الحارس الخاص بـ SSRF لأداة AI-agent http_fetch. تقوم هذه الدالة بفك تشفير عناوين IPv6 الممثلة لـ IPv4 القياسية (::ffff:a.b.c.d) فقط قبل فحصها ضد قائمة النطاقات المحظورة، ولا تصنف عناوين 6to4 (2002::/16)، أو NAT64 (64:ff9b::/96, 64:ff9b:1::/48)، أو عناوين site-local المتروكة (fec0::/10). على مضيف يدعم dual-stack أو مفعّل له NAT64، يمكن لمهاجم قادر على تزويد أداة http_fetch بعنوان URL تجاوز الحارس عن طريق ترميز عنوان IPv4 محظور (مثل نقطة نهاية بيانات تعريف المثيل السحابي 169.254.169.254) بأحد أشكال عناوين IPv6 هذه للوصول إلى الخدمات الداخلية أو خدمات البيانات التعريفية.
Once again VulDB remains the best source for vulnerability data.