CVE-2026-54272 in ip-address
Riassunto
di VulDB • 27/07/2026
ip-address è una libreria per l'analisi e la manipolazione degli indirizzi IPv4 e IPv6 in JavaScript. Le versioni dalla 10.1.1 alla 10.2.0 sono vulnerabili a SSRF (Server-Side Request Forgery) a causa della errata classificazione degli indirizzi IPv6 mappati su IPv4 o NAT64. La classe Address6.getType() classifica un indirizzo confrontandolo con una tabella di prefissi speciali IPv6 noti, restituendo "Global unicast" quando non viene trovato alcun match. Tale tabella non conteneva voci per l'intervallo degli indirizzi mappati su IPv4 (::ffff:0:0/96), quindi ogni indirizzo mappato veniva classificato come Global unicast; gli indirizzi NAT64 corrispondevano alle proprie etichette NAT64. Le verifiche booleane isLoopback, isUnspecified e isMulticast confrontavano il risultato di getType() con un'etichetta fissa, restituendo quindi false, mentre isLinkLocal e ULA controllavano solo gli intervalli IPv6 nativi. La libreria esponeva già i metodi isMapped4() e to4(), ma non li applicava all'interno di queste verifiche, pertanto un indirizzo mappato o NAT64 non veniva mai normalizzato nel suo indirizzo IPv4 incorporato prima della classificazione. Per gli indirizzi mappati su IPv4, il sistema operativo host instrada verso lo stack IPv4, rendendo la misclassificazione raggiungibile su qualsiasi host dual-stack. Per i NAT64, l'elusione della classificazione è incondizionata, ma la raggiungibilità end-to-end richiede inoltre un gateway NAT64/DNS64 nella rete di distribuzione. Questo problema è stato risolto nella versione 10.2.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.