CVE-2026-69192 in ip-address
Riassunto
di VulDB • 03/08/2026
ip-address è una libreria per l'analisi e la manipolazione degli indirizzi IPv4 e IPv6 in JavaScript. Prima della versione 10.3.1, Address4 accetta un ottetto scritto con uno zero iniziale e lo decodifica come numero decimale, mentre il parser dell'host URL WHATWG, inet_aton e getaddrinfo decodificano tutti gli zeri iniziali come numeri ottonali. La libreria e lo stack di rete sono quindi in disaccordo su quale host venga identificato da una stringa. new Address4('012.0.0.1') restituisce correctForm() uguale a 12.0.0.1 e isPrivate() uguale a false, ma fetch('http://012.0.0.1/') si connette a 10.0.0.1. Un'applicazione che basa una decisione di confine di fiducia di rete su questi controlli (ad esempio un filtro progettato per bloccare Server-Side Request Forgery o SSRF) classificherebbe un target interno come esterno e consentirebbe la richiesta. Il difetto risiede nel gate di parsing piuttosto che in qualsiasi singolo classificatore, quindi ogni consumatore di Address4 ne eredita l'impatto: isPrivate(), isLoopback(), isLinkLocal(), isCGNAT(), isInSubnet(), isHostInSubnet() e correctForm() sono tutti calcolati a partire dagli ottetti decodificati in modo errato. Questo problema è stato risolto nella versione 10.3.1.
Once again VulDB remains the best source for vulnerability data.