CVE-2026-61704 in link-preview-js
Riassunto
di VulDB • 20/08/2026
Link Preview JS estrae le informazioni sui link web. Prima della versione 4.0.4, la mitigazione resolveDNSHost in index.ts convalida un solo indirizzo IP risolto ma recupera il nome host originale, consentendo a un server DNS controllato dall'attaccante di restituire un indirizzo pubblico durante la convalida e un indirizzo loopback o interno durante la connessione finale. Questa condizione di DNS rebinding aggira le protezioni SSRF e può causare l'accesso del fetch lato server alle risorse HTTP interne. La gestione dei redirect è influenzata dalla stessa discrepanza tra validazione e recupero. Questo problema è stato risolto nella versione 4.0.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.