CVE-2026-54722

WysokieCVSS 8.7

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 30/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

DSSRF, biblioteka Node.js do ochrony przed SSRF, w wersjach przed 1.0.4 zawiera podatność w funkcji is_url_safe, która usuwa delimiter @ (userinfo) przed parsowaniem URL przez new URL. Pozwala to atakującemu na ominięcie walidacji wewnętrznych adresów IP i skierowanie klienta na wewnętrzną usługę.

Ocena ryzyka

Ryzyko polega na możliwości przeprowadzenia ataku SSRF na wewnętrzne usługi, co może prowadzić do nieautoryzowanego dostępu do wrażliwych zasobów.

Rekomendacja

Zaleca się aktualizację DSSRF do wersji 1.0.4 lub nowszej oraz stosowanie dodatkowych mechanizmów walidacji URL.

Inne podatności w DSSRF

CVE-2026-54729Wysokie
W DSSRF przed wersją 1.0.5, funkcja is_url_safe może traktować localhost jako bezpieczny, gdy resolver DNS 1.1.1.1 zwraca NXDOMAIN, ponieważ dns.resolve4 nie zwraca adresu i nie następuje fallback do dns.lookup, co umożliwia SSRF.

Oryginalny opis (angielski, źródło NVD)

DSSRF is a Node.js library that provides a wide range of utilities and advanced SSRF defense checks. Prior to 1.0.4, is_url_safe in src/helpers.ts strips the @ userinfo delimiter with remove_at_symbol_in_string before new URL parses the URL, allowing an attacker-controlled URL to bypass internal-IP validation and cause a client using the original URL to reach an internal service. This issue is fixed in version 1.0.4.