CVE-2026-42338
Açıklama
ip-address, JavaScript'te IPv4 ve IPv6 adreslerini ayrıştırmak ve işlemek için kullanılan bir kütüphanedir. 10.1.1 sürümünden önce, Address6.group() ve Address6.link() fonksiyonları, döndürdükleri HTML dizilerine yerleştirmeden önce saldırgan tarafından kontrol edilen içeriği HTML-escape işlemine tabi tutmamaktadır; ayrıca AddressError.parseMessage (geçersiz girişler için Address6 yapılandırıcısı tarafından yayınlanır), bir dalda escape edilmemiş saldırgan kontrollü içerik barındırabilmektedir. (1) güvenilmeyen girdileri Address6'ya aktaran ve (2) bu yöntemlerin çıktısını veya fırlatılan hatanın parseMessage kısmını HTML olarak (örneğin innerHTML aracılığıyla) işleyen bir uygulama, siteler arası betik çalıştırma (XSS) saldırılarına karşı savunmasızdır. Bu güvenlik açığı 10.1.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- beaugunderson ip-address10.1.1 ya da sonraki bir sürüm
- ip-address10.1.1 ya da sonraki bir sürüm
- access.redhat.com/errata/RHSA-2026:39246
- access.redhat.com/errata/RHSA-2026:35842
- access.redhat.com/errata/RHSA-2026:35841
- access.redhat.com/errata/RHSA-2026:41947
- access.redhat.com/errata/RHSA-2026:39868
- access.redhat.com/errata/RHSA-2026:52399
- access.redhat.com/errata/RHSA-2026:35892
- access.redhat.com/errata/RHSA-2026:35891
- access.redhat.com/errata/RHSA-2026:57590
- access.redhat.com/errata/RHSA-2026:66545
- access.redhat.com/errata/RHSA-2026:66488
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| beaugunderson ip-address | v < 10.1.1 | 10.1.1 |
| ip-addressnpm | v < 10.1.1 | 10.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.