CVE-2026-101911 in ip-address
要約
〜によって VulDB • 2026年09月28日
ip-addressは、JavaScriptでIPv4およびIPv6アドレスを解析・操作するためのライブラリです。バージョン10.7.1より前では、Address6コンストラクタ、Address6.isValid、およびsrc/ipv6.ts内のparseコードが境界制限のない文字列を受け入れ、不正な文字をRE_BAD_CHARACTERSを通じて大きな診断情報に展開します。実質的な影響は、アプリケーションが非常に大きい攻撃者制御フィールドを受け取り、事前に長さの上限を設定せずにAddress6解析処理に渡した場合のみ発生します。一般的なURLおよびヘッダの制限、ならびに一般的なbody-parserのデフォルト設定により、通常はこの影響は制約されます。一般的なデフォルトでは32 MiBのフィールドは除外される傾向があります。メガバイト規模のフィールドは同期ストールと一時的なメモリ使用量の増大（約16 MiBで不正な文字列長例外を引き起こし、約32 MiBでプロセス終了）を招きます。影響を受けるエントリーポイントにはAddress6.isValidおよびparseに到達する構築パスが含まれます。この問題はバージョン10.7.1で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.