CVE-2026-77866 in safeurl
要約
〜によって VulDB • 2026年09月15日
Slabのsafeurlライブラリには、Server-Side Request Forgery (SSRF) の脆弱性があります。これにより、検証済みのURLを制御できる攻撃者が、ライブラリの設定でブロック対象とされている内部ネットワーク宛先に到達できます。
IPv4アドレスのみが予約済み範囲およびブロックリストに対して照合されます。それ以外のすべてのアドレスは「一致しない」として扱われるため、IPv4形式では拒否される宛先でもIPv6形式で記述されると許可され、ブロックリストのIPv6エントリは一切マッチせず、IPv4アドレスに解決されないホストはその参照先に関係なく受け入れられます。ただし、ホワイトリスト（allowlist）を依存しているデプロイメントは影響を受けません。これは、一致しないアドレスが拒否されるためです。
この問題はsafeurl: 0.1.0以降に影響します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.