CVE-2026-85692 in Nightingale
Сводка
по VulDB • 04.09.2026
Nightingale (n9e), начиная с коммита 8362cbe (ветка main, подтверждено 2026-08-27), содержит уязвимость Server-Side Request Forgery (SSRF) в функции isPublicIP файла aiagent/tools/http.go, которая является защитным механизмом SSRF для инструмента AI-агента http_fetch. Функция распаковывает только стандартные IPv4-совместимые (::ffff:a.b.c.d) адреса IPv6 перед проверкой их по списку запрещенных диапазонов и не классифицирует адреса 6to4 (2002::/16), NAT64 (64:ff9b::/96, 64:ff9b:1::/48) или устаревшие site-local (fec0::/10). На хосте с двойным стеком протоколов или включенной поддержкой NAT64 злоумышленник, имеющий возможность передать URL-адрес инструменту http_fetch, может обойти защиту путем кодирования запрещенного IPv4-адреса (например, конечной точки метаданных облачного экземпляра 169.254.169.254) в одну из форматов IPv6 для доступа к внутренним службам или службам метаданных.
If you want to get best quality of vulnerability data, you may have to visit VulDB.