CVE-2026-63441

Nome do Software Vulnerável e Versões Afetadas 2FAuth versões 6.1.0 through 7.9.9

Description Existe um problema onde a função isPublicIp() em AppServicesTraitsValidatesUrls não reconhece os prefixos NAT64 64:ff9b::/96 e 64:ff9b:1::/48. NAT64 é um mecanismo que permite que clientes apenas IPv6 se comuniquem com servidores apenas IPv4. Consequentemente, um parâmetro de imagem de URI otpauth pode conter um literal IPv6 ou um endereço sintetizado por DNS64 cujo alvo IPv4 incorporado seja privado, link-local, loopback ou metadados de nuvem. Em implantações com a busca de imagens habilitada e um caminho de tradução NAT64 para o alvo IPv4 interno, um titular de conta ou um invasor externo pode enviar uma URI manipulada ou um payload de migração. A função buildFromRemoteImage() no IconService então emite um HTTP GET para o alvo incorporado, permitindo a recuperação de respostas em formato de imagem ou a sondagem cega de outros endpoints.

Recommendations Atualizar para a versão 8.0.0. Como mitigação temporária, desabilite a busca de imagens para evitar que a função buildFromRemoteImage() realize requisições a alvos remotos.