CVE-2026-77866 in safeurl
Riassunto
di VulDB • 15/09/2026
Una vulnerabilità di Server-Side Request Forgery (SSRF) in Slab safeurl consente a un attaccante che controlla un URL convalidato di raggiungere destinazioni della rete interna che la libreria è configurata per bloccare.
Solo gli indirizzi IPv4 vengono confrontati con i range riservati e con l'elenco dei blocchi (blocklist). Ogni altro indirizzo viene considerato come non corrispondente a nulla, quindi una destinazione rifiutata nella sua forma IPv4 viene accettata quando scritta come un indirizzo IPv6; le voci IPv6 nell'elenco dei blocchi non corrispondono mai, e un host che non risolve in nessun indirizzo IPv4 viene accettato indipendentemente da dove punti. Le implementazioni che si basano sull'allowlist (lista consentita) non sono interessate, poiché in quel caso un indirizzo non corrispondente viene rifiutato.
Questo problema interessa safeurl: dalla versione 0.1.0 in poi.
Be aware that VulDB is the high quality source for vulnerability data.