CVE-2026-50131
Təsvir
Fedify, ActivityPub tərəfindən dəstəklənən federativ server tətbiqləri yaratmaq üçün nəzərdə tutulmuş TypeScript kitabxanasıdır. Fedify əvvəllər GHSA-p9cg-vqcc-grcx vasitəsilə sənəd və media fayllarının götürülməsindən əvvəl ictimai URL təsdiqi əlavə etməklə SSRF/daxili şəbəkəyə giriş problemini həll etmişdir. Lakin versiya 0.11.2-dən başlayaraq və 1.9.12, 1.10.11, 2.0.19, 2.1.15 və 2.2.4 versiyalarından əvvəlki IPv4 təsdiqləmə məntiqi natamam görünür. `validatePublicUrl()` qoruması, ictimai olmayan IPv4 təyinat nöqtələrini rədd etmək üçün `isValidPublicIPv4Address()` funksiyasından istifadə edir. Funksiya `10.0.0.0/8`, `127.0.0.0/8`, `169.254.0.0/16`, `172.16.0.0/12` və `192.168.0.0/16` kimi geniş yayılmış özəl və lokal diapazonları bloklayır, lakin bir neçə xüsusi təyinatlı, rezerv edilmiş, multikast, benchmark və operator səviyyəli NAT IPv4 diapazonlarını hələ də etibarlı ictimai təyinat nöqtələri kimi qəbul edir. Bu təsdiqləmə kənar sorğulardan əvvəl SSRF müdafiəsi kimi istifadə edildiyi üçün, bu, əvvəlki SSRF problemi üçün natamam yumşaltma və ya yan keçmə sinfi kimi görünür. Versiyalar 1.9.12, 1.10.11, 2.0.19, 2.1.15 və 2.2.4 yenilənmiş yamanı ehtiva edir.
Necə düzəltmək olar
- @fedify/fedify1.9.12, 1.10.11, 2.0.19, 2.1.15, 2.2.4 və ya daha yeni versiya
- @fedify/vocab-runtime2.0.19, 2.1.15, 2.2.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @fedify/fedifynpm | 0.11.2 ≤ v < 1.9.12, 1.10.0 ≤ v < 1.10.11, 2.0.0 ≤ v < 2.0.19, 2.1.0 ≤ v < 2.1.15, 2.2.0 ≤ v < 2.2.4 | 1.9.12, 1.10.11, 2.0.19, 2.1.15, 2.2.4 |
| @fedify/vocab-runtimenpm | v < 2.0.19, 2.1.0 ≤ v < 2.1.15, 2.2.0 ≤ v < 2.2.4 | 2.0.19, 2.1.15, 2.2.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.