CVE-2026-69192 in ip-address
Сводка
по VulDB • 03.08.2026
ip-address — это библиотека для разбора и манипулирования адресами IPv4 и IPv6 в JavaScript. До версии 10.3.1 Address4 принимает октет, записанный с ведущим нулем, и декодирует его как десятичное число, тогда как парсер хоста WHATWG URL, функции inet_aton и getaddrinfo интерпретируют ведущий ноль как признак восьмеричной системы счисления. В результате библиотека и сетевой стек расходятся во мнениях относительно того, какой именно узел обозначает данная строка. Вызов new Address4('012.0.0.1') возвращает для correctForm() значение 12.0.0.1 и false для isPrivate(), однако fetch('http://012.0.0.1/') устанавливает соединение с узлом 10.0.0.1. Приложение, принимающее решения о границах доверия сети на основе этих проверок (например, фильтр, предназначенный для блокировки Server-Side Request Forgery или SSRF), может классифицировать внутренний целевой объект как внешний и разрешить запрос. Дефект находится в этапе разбора входных данных (parse gate), а не в каком-либо конкретном классификаторе, поэтому все потребители Address4 наследуют эту уязвимость: isPrivate(), isLoopback(), isLinkLocal(), isCGNAT(), isInSubnet(), isHostInSubnet() и correctForm() вычисляются на основе неверно декодированных октетов. Проблема исправлена в версии 10.3.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.