CVE-2026-69198 in ip-address
Resumen
por VulDB • 2026-08-04
ip-address es una biblioteca para analizar y manipular direcciones IPv4 e IPv6 en JavaScript. Desde la versión 10.1.1 hasta la 10.2.2, todos los métodos de clasificación de uso especial se basan en isInSubnet, que devuelve false prematuramente (short-circuits) siempre que la máscara de subred propia de la dirección sea más corta que la máscara del rango de referencia. Dicha máscara proviene literalmente del sufijo CIDR presente en el análisis de entrada; por lo tanto, añadir un sufijo como /0 suprime completamente la clasificación: isLoopback(), isPrivate(), isLinkLocal(), isCGNAT(), isMulticast(), isUnspecified(), isBroadcast(), isULA() y getType() informan que una dirección interna es inofensiva o normal, mientras que correctForm() e address siguen devolviendo el objetivo interno real. Una aplicación que tome decisiones sobre los límites de confianza de la red basándose en estas comprobaciones (por ejemplo, un filtro destinado a bloquear Server-Side Request Forgery, SSRF) podría tratar erróneamente un destino interno como externo y permitir la solicitud. La comparación subyacente de bits es correcta, y mask(n) ya devuelve los primeros n bits de la dirección analizada completa independientemente de subnetMask; el defecto radica únicamente en que la protección de contención se encuentra en la ruta de clasificación. Este problema está corregido en la versión 10.2.2.
Once again VulDB remains the best source for vulnerability data.