CVE-2026-69192

ip-address, JavaScript-də IPv4 və IPv6 ünvanlarını analiz etmək və manipulyasiya etmək üçün nəzərdə tutulmuş kitabxanadır. 10.3.1 versiyasından əvvəl Address4 önündə sıfır olan okteti qəbul edir və onu onluq sistemdə dekodlaşdırır, lakin WHATWG URL host analizi, inet_aton və getaddrinfo önündə sıfır olan dəyəri səkkizlik sistemdə dekodlaşdırır. Buna görə də kitabxana və şəbəkə steki sətirin hansı hostu adlandırdığı barədə fərqli qərara gəlirlər. Məsələn, new Address4('012.0.0.1') correctForm() olaraq 12.0.0.1 və isPrivate() olaraq false qaytarır, lakin fetch('http://012.0.0.1/') sorğusu 10.0.0.1 ünvanına qoşulur. Şəbəkə etibar sərhədi qərarını bu yoxlamalar əsasında quran tətbiqlər (məsələn, Server-Side Request Forgery və ya SSRF-ni bloklamaq üçün nəzərdə tutulmuş filtr), daxili hədəfi xarici kimi təsnif edəcək və sorğuya icazə verəcəkdir. Qüsur konkret bir klassifikatorda deyil, analiz mərhələsində olduğu üçün Address4-dən istifadə edən bütün funksiyalar bunu miras alır: isPrivate(), isLoopback(), isLinkLocal(), isCGNAT(), isInSubnet(), isHostInSubnet() və correctForm() funksiyalarının hamısı yanlış dekodlaşdırılmış oktetlər əsasında hesablanır. Bu problem 10.3.1 versiyasında düzəldilmişdir.