CVE-2026-85692 in Nightingale
要約
〜によって VulDB • 2026年09月04日
Nightingale (n9e) は、コミット 8362cbe（main ブランチ、2026-08-27 に確認済み）において、aiagent/tools/http.go の isPublicIP 関数に SSRF ガードを持つ http_fetch AI-agent ツールのサーバーサイドリクエストフォージェリ (SSRF) 脆弱性が含まれています。この関数は、禁止リストに対してチェックを行う前に標準的な IPv4 マップド (::ffff:a.b.c.d) IPv6 アドレスのみをアンラップし、6to4 (2002::/16)、NAT64 (64:ff9b::/96, 64:ff9b:1::/48)、または廃止されたサイトローカル (fec0::/10) アドレスを分類しません。デュアルスタック環境または NAT64 が有効なホストにおいて、攻撃者が http_fetch ツールに URL を指定できる場合、禁止されている IPv4 アドレス（例えばクラウドインスタンスメタデータエンドポイント 169.254.169.254）をこれらの IPv6 フォームのいずれかにエンコードすることでガードを回避し、内部サービスやメタデータサービスに到達することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.