CVE-2026-69192 in ip-address
요약
\~에 의해 VulDB • 2026. 08. 03.
ip-address는 JavaScript에서 IPv4 및 IPv6 주소를 파싱하고 조작하기 위한 라이브러리입니다. 버전 10.3.1 이전의 Address4는 선행 영문자 '0'이 붙은 옥텟을 받아 이를 십진수로 디코딩하는 반면, WHATWG URL 호스트 파서, inet_aton 및 getaddrinfo는 모두 선행 영문자 '0'을 팔진법(8진수)으로 해석합니다. 이로 인해 라이브러리와 네트워크 스택 간에 문자열이 지칭하는 호스트가 무엇인지에 대해 서로 다른 결과를 반환하게 됩니다. new Address4('012.0.0.1')은 correctForm()에서 12.0.0.1을, isPrivate()에서 false를 보고하지만, fetch('http://012.0.0.1/')는 실제로 10.0.0.1에 연결됩니다. 이러한 검사를 기반으로 네트워크 신뢰 경계(trust-boundary) 결정을 내리는 애플리케이션(예: 서버 사이드 리퀘스트 포지셔닝(SSRF, Server-Side Request Forgery)을 차단하도록 설계된 필터 등)은 내부 타겟을 외부로 분류하여 요청을 허용하게 됩니다. 이 결함은 개별 클래스파이어가 아닌 파싱 게이트(parse gate)에 존재하므로 Address4의 모든 사용자가 이를 상속받게 됩니다: isPrivate(), isLoopback(), isLinkLocal(), isCGNAT(), isInSubnet(), isHostInSubnet() 및 correctForm() 모두 잘못 디코딩된 옥텟으로부터 계산됩니다. 이 문제는 버전 10.3.1에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.