private-ip vulnérable à la falsification de requête côté serveur

L'exploitation réussie de cette vulnérabilité SSRF peut permettre à un attaquant d'accéder à des ressources internes qui ne seraient normalement pas accessibles depuis l'extérieur du réseau. En fournissant une adresse IP ou un nom d'hôte qui résout vers une adresse IP multicast (224.0.0.0/4), l'attaquant peut contourner les mécanismes de filtrage intégrés au package private-ip. Cela pourrait conduire à la divulgation d'informations sensibles, à la manipulation de services internes ou à d'autres actions malveillantes. Bien qu'il n'y ait pas d'exemples publics d'exploitation directe de cette vulnérabilité, les SSRF sont souvent utilisés comme point de départ pour des attaques plus complexes, telles que la découverte d'informations d'identification ou l'accès à des bases de données.

Applications and services that rely on the private-ip Node.js package for IP address manipulation are at risk. This includes internal tools, APIs, and microservices that process IP addresses as part of their functionality. Specifically, deployments using older versions of Node.js and relying on outdated package versions are particularly vulnerable.

• nodejs / server:

  npm list private-ip

This command will list the installed version of the private-ip package. Check if the version is less than or equal to 3.0.2. • nodejs / server:

  grep -r 'private-ip' package.json

Search for the package in your project's package.json file to identify dependencies. • generic web: Review application logs for unusual outbound requests to multicast IP addresses (224.0.0.0/4).

1. 2025-07-23Disclosure

   disclosure

1. Réservé2025-07-22
2. Publiée2025-07-23
3. Modifiée2025-09-25
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour le package private-ip vers la dernière version disponible, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures temporaires peuvent être prises. Il est recommandé de renforcer les contrôles d'accès réseau pour limiter les requêtes sortantes autorisées depuis l'application Node.js. L'utilisation d'un proxy inverse ou d'un pare-feu applicatif web (WAF) peut également aider à bloquer les requêtes malveillantes. Vérifiez après la mise à jour que le package est correctement mis à jour en exécutant npm list private-ip et en confirmant la version.