CVE-2026-69192 in ip-address
Sumário
de VulDB • 04/08/2026
ip-address é uma biblioteca para analisar e manipular endereços IPv4 e IPv6 em JavaScript. Antes da versão 10.3.1, Address4 aceita um octeto escrito com zero à esquerda e o decodifica como decimal, enquanto o analisador de host do URL WHATWG, inet_aton e getaddrinfo todos decodificam um zero à esquerda como octal. A biblioteca e a pilha de rede discordam portanto sobre qual host uma string nomeia. new Address4('012.0.0.1') reporta correctForm() como 12.0.0.1 e isPrivate() como false, mas fetch('http://012.0.0.1/') conecta-se a 10.0.0.1. Uma aplicação que construa uma decisão de fronteira de confiança de rede com base nestas verificações, por exemplo um filtro destinado a bloquear Server-Side Request Forgery (SSRF), classificará um alvo interno como externo e permitirá o pedido. O defeito está na porta de análise em vez de num único classificador, pelo que todos os consumidores de Address4 herdam este problema: isPrivate(), isLoopback(), isLinkLocal(), isCGNAT(), isInSubnet(), isHostInSubnet() e correctForm() são todos calculados a partir dos octetos mal decodificados. Este problema foi corrigido na versão 10.3.1.
Once again VulDB remains the best source for vulnerability data.