CVE-2026-54272 in ip-address
요약
\~에 의해 VulDB • 2026. 07. 27.
ip-address는 JavaScript에서 IPv4 및 IPv6 주소를 파싱하고 조작하기 위한 라이브러리입니다. 버전 10.1.1부터 10.2.0까지의 버전은 IPv4 매핑/NAT64 IPv6 주소의 오분류로 인해 SSRF(Server-Side Request Forgery) 취약점에 노출됩니다. Address6.getType() 클래스는 알려진 IPv6 특수 목적 접두사 테이블과 주소를 일치시켜 분류하며, 일치하는 항목이 없을 경우 Global unicast를 반환합니다. 해당 테이블에는 IPv4 매핑 범위(::ffff:0:0/96)에 대한 엔트리가 없었으므로 모든 매핑 주소가 Global unicast로 처리되었고; NAT64 주소는 자체 NAT64 레이블과 일치했습니다. isLoopback, isUnspecified 및 isMulticast 부울 체크는 getType()를 고정 레이블과 비교하여 false를 반환하는 반면, isLinkLocal 및 isULA는 네이티브 IPv6 범위만 확인했습니다. 라이브러리는 이미 isMapped4()와 to4()를 노출하고 있었지만 이러한 체크 내부에서 이를 적용하지 않았으므로 매핑 또는 NAT64 주소가 분류 전에 내장된 IPv4 주소로 정규화되지 않았습니다. IPv4 매핑의 경우 호스트 OS는 IPv4 스택으로 라우팅하므로, 이 오분류는 모든 듀얼 스택 호스트에서 접근 가능합니다. NAT64의 경우 분류 우회가 무조건적이지만 종단 간 도달성은 추가로 배포 네트워크에 NAT64/DNS64 게이트웨이가 필요하다는 조건이 따릅니다. 본 문제는 버전 10.2.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.