CVE-2026-50131
Açıklama
Fedify, ActivityPub tarafından desteklenen federe sunucu uygulamaları oluşturmak için kullanılan bir TypeScript kütüphanesidir. Fedify daha önce, çalışma zamanı belge ve medya getirme işlemlerinden önce genel URL doğrulaması ekleyerek GHSA-p9cg-vqcc-grcx ile SSRF/dahili ağ erişimi sorununu gidermiştir. Ancak, versiyon 0.11.2'den başlayarak 1.9.12, 1.10.11, 2.0.19, 2.1.15 ve 2.2.4 versiyonlarından önceki sürümlerde bulunan IPv4 doğrulama mantığı eksik görünmektedir. `validatePublicUrl()` koruması, genel olmayan IPv4 hedeflerini reddetmek için `isValidPublicIPv4Address()` fonksiyonuna dayanmaktadır. Bu fonksiyon; `10.0.0.0/8`, `127.0.0.0/8`, `169.254.0.0/16`, `172.16.0.0/12` ve `192.168.0.0/16` gibi yaygın özel ve yerel aralıkları engellemekte, ancak çeşitli özel amaçlı, ayrılmış, çoklu yayın (multicast), kıyaslama (benchmarking) ve operatör sınıfı NAT (carrier-grade NAT) IPv4 aralıklarını hâlâ geçerli genel hedefler olarak değerlendirmektedir. Bu doğrulamanın giden isteklerden önce bir SSRF savunması olarak kullanılması nedeniyle, bu durum önceki SSRF sorunu için eksik bir hafifletme veya atlatma sınıfı olarak görünmektedir. Versiyonlar 1.9.12, 1.10.11, 2.0.19, 2.1.15 ve 2.2.4 güncellenmiş bir yama içermektedir.
Nasıl düzeltilir
- @fedify/fedify1.9.12, 1.10.11, 2.0.19, 2.1.15, 2.2.4 ya da sonraki bir sürüm
- @fedify/vocab-runtime2.0.19, 2.1.15, 2.2.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @fedify/fedifynpm | 0.11.2 ≤ v < 1.9.12, 1.10.0 ≤ v < 1.10.11, 2.0.0 ≤ v < 2.0.19, 2.1.0 ≤ v < 2.1.15, 2.2.0 ≤ v < 2.2.4 | 1.9.12, 1.10.11, 2.0.19, 2.1.15, 2.2.4 |
| @fedify/vocab-runtimenpm | v < 2.0.19, 2.1.0 ≤ v < 2.1.15, 2.2.0 ≤ v < 2.2.4 | 2.0.19, 2.1.15, 2.2.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.