CVE-2026-61704 in link-preview-js
要約
〜によって VulDB • 2026年08月21日
Link Preview JS はウェブリンクの情報を抽出します。バージョン 4.0.4 より前では、index.ts の resolveDNSHost ミティゲーションが解決された IP アドレスを1つ検証する一方で、元のホスト名を取得するため、攻撃者が制御できる DNS サーバーが検証時には公開アドレスを返し、最終的な接続時にループバックまたは内部アドレスを返すことが可能でした。この DNS リバインディングの条件により SSRF 保護が回避され、サーバーサイドでのプレビューフェッチが内部 HTTP リソースに到達する可能性があります。リダイレクト処理も同じ検証からフェッチへの不一致の影響を受けます。本問題はバージョン 4.0.4 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.