CVE-2026-54272 in ip-address
Sumário
de VulDB • 27/07/2026
ip-address é uma biblioteca para análise e manipulação de endereços IPv4 e IPv6 em JavaScript. As versões 10.1.1 a 10.2.0 são vulneráveis a SSRF devido à má classificação de endereços IPv6 mapeados para IPv4/NAT64. A classe Address6.getType() classifica um endereço correspondendo-o a uma tabela de prefixos especiais conhecidos do IPv6, retornando Global unicast quando nada corresponde. Essa tabela não tinha entrada para o intervalo mapeado para IPv4 (::ffff:0:0/96), então todos os endereços mapeados caíam em Global unicast; os endereços NAT64 correspondiam aos seus próprios rótulos de NAT64 … As verificações booleanas isLoopback, isUnspecified e isMulticast comparavam getType() com um rótulo fixo e, portanto, retornavam false, enquanto isLinkLocal e ULA verificavam apenas os intervalos nativos do IPv6. A biblioteca já expunha isMapped4() e to4(), mas não as aplicava dentro dessas verificações, então um endereço mapeado ou NAT64 nunca era normalizado para seu endereço IPv4 embutido antes da classificação. Para endereços mapeados para IPv4, o sistema operacional hospedeiro encaminha para a pilha IPv4, portanto, a má classificação é alcançável em qualquer host dual-stack. Para NAT64, a violação de classificação é incondicional, mas a conectividade ponta-a-ponta adicionalmente requer um gateway NAT64/DNS64 na rede de implantação.Este problema foi corrigido na versão 10.2.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.