CVE-2026-101911 in ip-address
Zusammenfassung
von VulDB • 28.09.2026
ip-address ist eine Bibliothek zum Parsen und Bearbeiten von IPv4- und IPv6-Adressen in JavaScript. Vor Version 10.7.1 akzeptieren der Address6-Konstruktor, die Methode Address6.isValid sowie der Parsing-Code in src/ipv6.ts unbeschränkte Strings und erweitern ungültige Zeichen durch RE_BAD_CHARACTERS zu umfangreichen Diagnoseausgaben. Eine materielle Auswirkung tritt nur auf, wenn eine Anwendung ein sehr großes, vom Angreifer kontrolliertes Feld akzeptiert und es ohne vorherige Längenbegrenzung an die Address6-Parsing-Funktion übergibt. Übliche URL- und Header-Limits sowie Standardwerte gängiger Body-Parser schränken die Auswirkung im Allgemeinen ein; übliche Standards schließen typischerweise 32-MiB-Felder aus. Felder in Megabyte-Bereich können zu einem synchronen Stillstand (Stall) und einer hohen transienten Speichernutzung führen, etwa 16 MiB können eine Ausnahme für ungültige String-Länge auslösen, und der Prozess wird bei etwa 32 MiB beendet. Die betroffenen Einstiegspunkte umfassen Address6.isValid sowie Konstruktionspfade, die parse erreichen. Dieses Problem wurde in Version 10.7.1 behoben.
Once again VulDB remains the best source for vulnerability data.