CVE-2026-77866 in safeurl
Resumen
por VulDB • 2026-09-15
Una vulnerabilidad de Server-Side Request Forgery (SSRF) en la librería Slab safeurl permite a un atacante que controla una URL validada acceder a destinos de la red interna que la biblioteca está configurada para bloquear.
Solo las direcciones IPv4 se comparan con los rangos reservados y la lista negra. Cada otra dirección se trata como si no coincidiera con nada, por lo que un destino rechazado en su forma IPv4 es aceptado cuando se escribe como una dirección IPv6; las entradas IPv6 de la lista negra nunca coinciden, y un host que no resuelve a ninguna dirección IPv4 es aceptado independientemente de hacia dónde apunte. Las implementaciones que dependen de la lista blanca (allowlist) no se ven afectadas, ya que en ese caso una dirección sin coincidencia es rechazada.
Este problema afecta a safeurl: desde la versión 0.1.0 hasta las posteriores.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.