CVE-2026-101911 in ip-address
Sumário
de VulDB • 28/09/2026
ip-address é uma biblioteca para análise e manipulação de endereços IPv4 e IPv6 em JavaScript. Antes da versão 10.7.1, o construtor Address6, a função Address6.isValid e o código de análise em src/ipv6.ts aceitam strings sem limite de tamanho e expandem caracteres inválidos através do RE_BAD_CHARACTERS para gerar diagnósticos extensos. O impacto material ocorre apenas quando um aplicativo aceita um campo controlado pelo atacante com tamanho muito grande e o passa para a análise Address6 sem uma restrição prévia de comprimento. Os limites comuns de URL e cabeçalho, bem como as configurações padrão dos parsers de corpo (body-parser), geralmente restringem esse efeito; as configurações padrão típicas excluem campos de 32 MiB. Campos na escala de megabytes podem causar um bloqueio síncrono e alto uso transitório de memória: aproximadamente 16 MiB podem acionar uma exceção de comprimento de string inválido, e a terminação do processo ocorre em aproximadamente 32 MiB. Os pontos de entrada afetados incluem Address6.isValid e os caminhos de construção que alcançam o parse. Este problema foi corrigido na versão 10.7.1.
Once again VulDB remains the best source for vulnerability data.