CVE-2026-69192 in ip-address
要約
〜によって VulDB • 2026年08月04日
ip-addressは、JavaScriptでIPv4およびIPv6アドレスを解析・操作するためのライブラリです。バージョン10.3.1より前では、Address4は先頭にゼロが付いたオクテットを受け付け、それを10進数としてデコードします。一方、WHATWG URLホストパーサー、inet_aton、getaddrinfoはいずれも、先頭のゼロを8進数の示唆として解釈してデコードします。その結果、ライブラリとネットワークスタックの間で、文字列が指すホストに関する認識に相違が生じます。new Address4('012.0.0.1')はcorrectForm()に対して12.0.0.1を返しますが、isPrivate()はfalseを返し、fetch('http://012.0.0.1/')を実行すると10.0.0.1に接続されます。これらのチェックに基づいてネットワークの信頼境界に関する判断を行うアプリケーション（例えばServer-Side Request Forgery (SSRF)を防ぐことを意図したフィルタなど）は、内部ターゲットを外部として分類し、リクエストを許可してしまいます。この欠陥は特定のクラスファイアではなく解析ゲート部分にあるため、Address4の利用者は誰でもこれを継承します：isPrivate()、isLoopback()、isLinkLocal()、isCGNAT()、isInSubnet()、isHostInSubnet()、correctForm()はいずれも誤ってデコードされたオクテットから計算されます。この問題はバージョン10.3.1で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.