CVE-2026-69192

ip-address, JavaScript'te IPv4 ve IPv6 adreslerini ayrıştırmak ve işlemek için kullanılan bir kütüphanedir. 10.3.1 sürümünden önce Address4, başında sıfır olan bir okteti kabul eder ve bunu ondalık olarak çözerken; WHATWG URL ana bilgisayar ayrıştırıcısı, inet_aton ve getaddrinfo, başında sıfır olan değerleri sekizlik taban olarak çözer. Bu nedenle kütüphane ve ağ yığını, bir dizginin hangi ana bilgisayarı adlandırdığı konusunda farklılık gösterir. new Address4('012.0.0.1') ifadesi correctForm() sonucunu 12.0.0.1 ve isPrivate() sonucunu false olarak raporlar, ancak fetch('http://012.0.0.1/') isteği 10.0.0.1 adresine bağlanır. Ağ güven sınır kararlarını bu kontrollere dayandıran bir uygulama (örneğin Sunucu Taraflı İstek Sahteciliği veya SSRF'yi engellemek amacıyla tasarlanmış bir filtre), dahili bir hedefi harici olarak sınıflandıracak ve isteğe izin verecektir. Kusur herhangi bir sınıflandırıcıdan ziyade ayrıştırma aşamasında olduğundan, Address4 kullanan tüm bileşenler bundan etkilenir: isPrivate(), isLoopback(), isLinkLocal(), isCGNAT(), isInSubnet(), isHostInSubnet() ve correctForm() fonksiyonlarının tamamı yanlış çözümlenmiş oktetlerden hesaplanır. Bu sorun 10.3.1 sürümünde düzeltilmiştir.