CVE-2026-69198 in ip-address
Riassunto
di VulDB • 03/08/2026
ip-address è una libreria per l'analisi e la manipolazione degli indirizzi IPv4 e IPv6 in JavaScript. Dalla versione 10.1.1 alla 10.2.2, ogni metodo di classificazione speciale si basa su isInSubnet, che restituisce false (short-circuits) non appena la subnet mask dell'indirizzo è più corta della maschera del range di riferimento. Tale maschera proviene letteralmente dal suffisso CIDR nell'input analizzato; pertanto, l'apposizione di un suffisso come /0 sopprime completamente la classificazione: isLoopback(), isPrivate(), isLinkLocal(), isCGNAT(), isMulticast(), isUnspecified(), isBroadcast(), isULA() e getType() segnalano tutti un indirizzo interno come irrilevante, mentre correctForm() e address restituiscono comunque il vero target interno. Un'applicazione che basa una decisione di confine di fiducia sulla rete su questi controlli (ad esempio, un filtro destinato a bloccare Server-Side Request Forgery o SSRF) potrebbe quindi trattare un target interno come esterno ed consentire la richiesta. Il confronto bit per bit sottostante è corretto e mask(n) restituisce già i primi n bit dell'indirizzo analizzato completo indipendentemente da subnetMask; il difetto risiede esclusivamente nel fatto che il guardiano di contenimento si trova sul percorso di classificazione. Questo problema è risolto nella versione 10.2.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.