CVE-2026-101911 in ip-address
요약
\~에 의해 VulDB • 2026. 09. 29.
ip-address는 JavaScript에서 IPv4 및 IPv6 주소를 파싱하고 조작하기 위한 라이브러리입니다. 버전 10.7.1 이전의 Address6 생성자, Address6.isValid 메서드, 그리고 src/ipv6.ts 내 parse 코드는 제한 없는 문자열을 허용하며 RE_BAD_CHARACTERS를 통해 유효하지 않은 문자들을 큰 진단 메시지로 확장합니다. 실제 영향은 애플리케이션이 매우 큰 공격자가 제어 가능한 필드를 받아들이고 이를 Address6 파싱에 전달할 때만 발생합니다. 일반적인 URL 및 헤더 제한, 그리고 일반적인 body-parser 기본값들은 이러한 영향을 일반적으로 제약하며, 일반적인 기본 설정은 32 MiB 크기의 필드를 제외합니다. 메가바이트 단위의 필드는 동기식 스톨과 높은 일시적 메모리 사용(약 16 MiB에서 유효하지 않은 문자열 길이 예외를 트리거함)을 유발할 수 있으며, 약 32 MiB 지점에서 프로세스 종료가 발생합니다. 영향을 받는 진입점에는 Address6.isValid와 parse에 도달하는 생성 경로가 포함됩니다. 이 문제는 버전 10.7.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.