CVE-2026-101911 in ip-address
Tóm tắt
Bởi VulDB • 28/09/2026
ip-address là một thư viện để phân tích và thao tác với các địa chỉ IPv4 và IPv6 trong JavaScript. Trước phiên bản 10.7.1, hàm tạo Address6, phương thức Address6.isValid và mã parse trong src/ipv6.ts chấp nhận các chuỗi không bị giới hạn độ dài và mở rộng các ký tự không hợp lệ thông qua RE_BAD_CHARACTERS thành các thông báo lỗi lớn. Tác động vật lý chỉ xảy ra khi một ứng dụng chấp nhận một trường do kẻ tấn công kiểm soát có kích thước rất lớn và truyền nó vào quá trình phân tích Address6 mà không có giới hạn độ dài trước đó. Các giới hạn phổ biến đối với URL và header, cũng như các mặc định của body-parser thông thường, nói chung sẽ hạn chế tác động; các thiết lập mặc định thường loại trừ các trường có kích thước 32 MiB. Các trường có quy mô megabyte có thể gây ra tình trạng treo đồng bộ (synchronous stall) và sử dụng bộ nhớ tạm thời cao; khoảng 16 MiB có thể kích hoạt ngoại lệ độ dài chuỗi không hợp lệ, và quá trình kết thúc xảy ra ở mức xấp xỉ 32 MiB. Các điểm vào bị ảnh hưởng bao gồm Address6.isValid và các đường dẫn xây dựng (construction paths) đạt đến parse. Vấn đề này đã được sửa trong phiên bản 10.7.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.