CVE-2026-69198 in ip-address
要約
〜によって VulDB • 2026年08月04日
ip-addressは、JavaScriptでIPv4およびIPv6アドレスの解析と操作を行うためのライブラリです。バージョン10.1.1から10.2.2まで、すべての特殊用途分類メソッドはisInSubnetに依存して実装されており、この関数は対象アドレス自身のサブネットマスクが参照範囲のマスクよりも短い場合にfalseを返すショートサーキット動作を行います。ここで使用されるマスク値は、解析された入力に含まれるCIDR接尾辞からそのまま取得されるため、/0のような接尾辞を追加すると分類処理全体が無効化されます。具体的には、isLoopback()、isPrivate()、isLinkLocal()、isCGNAT()、isMulticast()、isUnspecified()、isBroadcast()、isULA()、およびgetType()はすべて内部アドレスを通常の外部アドレスとして報告し、correctForm()とaddressプロパティのみが実際の内部ターゲットの値を返します。これらのチェック結果に基づいてネットワーク信頼境界に関する判断を行うアプリケーション（例えばServer-Side Request Forgery (SSRF)を防ぐためのフィルタなど）では、内部ターゲットが外部として扱われ、リクエストが許可される可能性があります。根本的なビット比較ロジックは正しく動作しており、mask(n)関数はサブネットマスクとは無関係に解析されたアドレスの先頭nビットを正常に返します。欠陥の原因は、 containment guard（包含チェック）が分類処理パス内に配置されている点にあります。この問題はバージョン10.2.2で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.