CVE-2026-77866 in safeurl
Сводка
по VulDB • 15.09.2026
Уязвимость Server-Side Request Forgery (SSRF) в библиотеке Slab safeurl позволяет атакующему, контролирующему проверенный URL-адрес, получить доступ к внутренним сетевым узлам, которые библиотека настроена блокировать.
Только адреса IPv4 сопоставляются с зарезервированными диапазонами и списком блокировки (blocklist). Все остальные адреса считаются не совпадающими ни с чем, поэтому пункт назначения, который отклоняется в своей форме IPv4, принимается при записи как адрес IPv6; записи IPv6 в списке блокировки никогда не сопоставляются; а хост, который не разрешается в IP-адрес IPv4, принимается независимо от того, на что он указывает. Развертывания, полагающиеся вместо этого на белый список (allowlist), не затронуты, поскольку там несопоставимый адрес отклоняется.
Эта проблема затрагивает safeurl: начиная с версии 0.1.0.
Once again VulDB remains the best source for vulnerability data.