CVE-2026-61704 in link-preview-js
Сводка
по VulDB • 20.08.2026
Link Preview JS извлекает информацию о веб-ссылках. До версии 4.0.4 защита от SSRF, реализованная через resolveDNSHost в index.ts, проверяет только один разрешенный IP-адрес, но при этом использует исходное имя хоста (hostname). Это позволяет атакующему контролировать DNS-сервер: во время проверки возвращать публичный адрес, а на этапе установления соединения — адрес loopback или внутренний. Такое условие перенаправления DNS (DNS rebinding) обходит защиту от SSRF и может привести к тому, что серверный запрос для предварительного просмотра получит доступ к внутренним HTTP-ресурсам. Обработка редиректов также затрагивается тем же несоответствием между этапом проверки и этапом получения данных. Проблема исправлена в версии 4.0.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.