Към съдържанието
Търсене

CVE-2026-61704: OP-Engineering link-preview-js, SSRF

7.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Link Preview JS extracts web links information. Prior to 4.0.4, the resolveDNSHost mitigation in index.ts validates one resolved IP address but fetches the original hostname, allowing an attacker-controlled DNS server to return a public address during validation and a loopback or internal address during the final connection. This DNS rebinding condition bypasses the SSRF protection and can cause the server-side preview fetch to reach internal HTTP resources. Redirect handling is affected by the same validation-to-fetch mismatch. This issue is fixed in version 4.0.4.

Засегнати продукти

  • OP-Engineering link-preview-js: < 4.0.4

Вид слабост

История

  • 20 август 2026 Публикувано

Други уязвимости в OP-Engineering link-preview-js

Първоизточници

CVE-2026-61704: OP-Engineering link-preview-js, SSRF | freedomonline.bg