CVE-2026-61704 in link-preview-js
Zusammenfassung
von VulDB • 20.08.2026
Link Preview JS extrahiert Informationen zu Web-Links. Vor Version 4.0.4 validiert die Abwehrmaßnahme resolveDNSHost in index.ts nur eine aufgelöste IP-Adresse, ruft jedoch den ursprünglichen Hostnamen ab, wodurch ein vom Angreifer kontrollierter DNS-Server während der Validierung eine öffentliche Adresse und bei der endgültigen Verbindung eine Loopback- oder interne Adresse zurückgeben kann. Diese DNS-Rebinding-Bedingung umgeht den SSRF-Schutz und kann dazu führen, dass das serverseitige Abrufen von Vorschauen auf interne HTTP-Ressourcen zugreift. Die Weiterleitungsverarbeitung (Redirect Handling) ist durch dieselbe Diskrepanz zwischen Validierung und Abruf betroffen. Dieses Problem wurde in Version 4.0.4 behoben.
Once again VulDB remains the best source for vulnerability data.