CVE-2024-29415
Publiée le 2024-05-27 · Dernière modification le 2026-06-17
Les applications utilisant le package Node.js `ip` (version 2.0.1 et versions antérieures) peuvent ne pas identifier correctement certaines adresses IP formatées de manière particulière comme étant locales. Un attaquant distant non authentifié peut exploiter cette faille pour contourner les filtres de sécurité et effectuer une falsification de requête côté serveur (SSRF), accédant potentiellement à des services internes ou à des données sensibles sur votre serveur. Bien que l'attaque ne nécessite aucune interaction de l'utilisateur, elle est techniquement difficile à exécuter car elle repose sur des formats d'IP non standard spécifiques que votre application doit traiter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The ip package through 2.0.1 for Node.js might allow SSRF because some IP addresses (such as 127.1, 01200034567, 012.1.2.3, 000:0:0000::01, and ::fFFf:127.0.0.1) are improperly categorized as globally routable via isPublic. NOTE: this issue exists because of an incomplete fix for CVE-2023-42282.