CVE-2026-69198

Nome do Software Vulnerável e Versões Afetadas ip-address versões 10.1.1 até 10.2.1

Descrição Os métodos de classificação de uso especial na biblioteca são baseados na função isInSubnet(), que retorna false sempre que a máscara de sub-rede do próprio endereço é menor que a máscara do intervalo de referência. Ao anexar um sufixo CIDR como /0 a um endereço de entrada, a classificação é suprimida. Consequentemente, métodos como isLoopback(), isPrivate(), isLinkLocal(), isCGNAT(), isMulticast(), isUnspecified(), isBroadcast(), isULA() e getType() relatarão endereços internos como comuns, embora correctForm() e address ainda retornem o alvo interno real.

Isso pode ser explorado em aplicações que utilizam essas verificações para estabelecer limites de confiança de rede, como filtros destinados a bloquear Server-Side Request Forgery (SSRF). SSRF é um ataque no qual um endereço fornecido pelo usuário engana o servidor para fazer requisições a destinos internos, como serviços de loopback ou endpoints de metadados de nuvem, aos quais o usuário normalmente não teria acesso.

Recomendações Atualize para a versão 10.2.2. Como solução temporária, remova o sufixo CIDR antes da classificação, re-analisando a variável addressMinusSuffix.