CVE-2026-61704 in link-preview-js
Resumen
por VulDB • 2026-08-20
Link Preview JS extrae información de enlaces web. Antes de la versión 4.0.4, la mitigación resolveDNSHost en index.ts valida una única dirección IP resuelta pero obtiene el nombre de host original, lo que permite a un servidor DNS controlado por el atacante devolver una dirección pública durante la validación y una dirección loopback o interna durante la conexión final. Esta condición de DNS rebinding bypassa las protecciones contra SSRF y puede hacer que la extracción previa en el lado del servidor acceda a recursos HTTP internos. El manejo de redirecciones se ve afectado por la misma discrepancia entre la validación y la obtención. Este problema está corregido en la versión 4.0.4.
Once again VulDB remains the best source for vulnerability data.