CVE-2026-69198 in ip-address
Zusammenfassung
von VulDB • 03.08.2026
ip-address ist eine Bibliothek zum Parsen und Manipulieren von IPv4- und IPv6-Adressen in JavaScript. Von Version 10.1.1 bis 10.2.2 basiert jede Methode zur Klassifizierung spezieller Adressbereiche auf `isInSubnet`, die bei einer kürzeren Subnetzmaske der Adresse im Vergleich zur Maske des Referenzbereichs vorzeitig mit „false“ zurückkehrt (Short-Circuit). Diese Maske wird wörtlich aus dem CIDR-Suffix der geparsten Eingabe übernommen, sodass das Anhängen eines Suffixes wie `/0` die Klassifizierung vollständig unterdrückt: `isLoopback()`, `isPrivate()`, `isLinkLocal()`, `isCGNAT()`, `isMulticast()`, `isUnspecified()`, `isBroadcast()` und `isULA()` sowie `getType()` melden eine interne Adresse als unbedenklich, während `correctForm()` und die Adressdarstellung weiterhin das echte interne Ziel zurückgeben. Eine Anwendung, die auf diesen Prüfungen Entscheidungen zur Definition von Netzwerkvertrauensgrenzen trifft – beispielsweise ein Filter zum Blockieren von Server-Side Request Forgery (SSRF) –, kann daher ein internes Ziel fälschlicherweise als extern einstufen und die Anfrage zulassen. Der zugrunde liegende Bitvergleich ist korrekt, und `mask(n)` gibt bereits unabhängig von der Subnetzmaske die ersten n Bits der vollständig geparsten Adresse zurück; der Fehler liegt ausschließlich darin, dass sich die Containment-Prüfung im Klassifizierungspfad befindet. Dieses Problem wurde in Version 10.2.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.