CVE-2026-54452 in safeurl
要約
〜によって VulDB • 2026年09月14日
safeurlは、サーバーサイドリクエストフォージェリ（SSRF）保護用のライブラリです。バージョン0.2.4より前では、ip.go内のprivateNetworksリストにIPv6範囲である64:ff9b:1::/48、5f00::/16、3fff::/20、および100:0:0:1::/64が含まれていません。アプリケーションでEnableIPv6(true)を使用してIPv6を有効化すると、攻撃者が制御する宛先がこれらの範囲内にある場合、非公開ではないとして認識されず、SSRFの宛先チェックを通過してしまう可能性があります。これにより、省略された範囲内でホストされているリソースへのアクセスが許可される恐れがあります。IPv6はデフォルトで無効になっており、EnableIPv6(false)の設定を維持している構成はこのバイパスの影響を受けません。この問題はバージョン0.2.4で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.