CVE-2026-101911

Nome do Software Vulnerável e Versões Afetadas ip-address versões anteriores a 10.7.1

Descrição O construtor Address6, a função Address6.isValid e o código parse em src/ipv6.ts aceitam strings sem limite de tamanho. Quando caracteres inválidos são processados através de RE BAD CHARACTERS, eles são expandidos em diagnósticos extensos. Isso pode resultar em uma interrupção síncrona e alto uso transitório de memória ao processar campos em escala de megabytes. Especificamente, campos de aproximadamente 16 MiB podem disparar uma exceção de comprimento de string inválido, e campos de aproximadamente 32 MiB podem causar a terminação do processo. Isso ocorre quando uma aplicação passa um campo controlado por um invasor, com tamanho excessivo, para a lógica de parsing sem um limite de comprimento prévio.

Recomendações Atualize para a versão 10.7.1. Como mitigação temporária, implemente um limite de comprimento nos campos de entrada antes de passá-los para Address6.isValid ou para o construtor Address6.