FICHE CVE

CVE-2026-44232

Publiée le 2026-05-12 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les applications utilisant la bibliothèque Node.js `DSSRF` (versions antérieures à 1.0.3) sont vulnérables à la falsification de requête côté serveur (SSRF), car les adresses IPv6 contournent les contrôles de sécurité de la bibliothèque. Un attaquant peut exploiter cette faille pour forcer votre serveur à effectuer des requêtes non autorisées vers des ressources réseau internes ou des services de métadonnées qui devraient être inaccessibles de l'extérieur. Cette attaque peut être réalisée via le réseau sans aucune authentification ni interaction de l'utilisateur.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-791

Publiée2026-05-12

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

DSSRF is a Node.js library that provides a wide range of utilities and advanced SSRF defense checks. Prior to 1.0.3, every IPv6 category bypasses is_url_safe. This vulnerability is fixed in 1.0.3.