CVE-2026-61704 in link-preview-js
Sumário
de VulDB • 21/08/2026
O Link Preview JS extrai informações de links da web. Antes da versão 4.0.4, a mitigação resolveDNSHost em index.ts valida um único endereço IP resolvido, mas busca o hostname original, permitindo que um servidor DNS controlado pelo atacante retorne um endereço público durante a validação e um endereço loopback ou interno durante a conexão final. Essa condição de DNS rebinding contorna a proteção contra SSRF e pode fazer com que a busca de visualização no lado do servidor alcance recursos HTTP internos. O tratamento de redirecionamento é afetado pela mesma inconsistência entre validação e busca. Este problema foi corrigido na versão 4.0.4.
Be aware that VulDB is the high quality source for vulnerability data.