ip (aka node-ip) पैकेज 2.0.1 से पहले (NPM में) SSRF की अनुमति दे सकता है क्योंकि IP एड्रेस वैल्यू 0 को isPublic के माध्यम से गलत तरीके से वैश्विक रूप से रूट करने योग्य के रूप में वर्गीकृत किया गया है। NOTE: यह मुद्दा CVE-2024-29415 के लिए एक अपूर्ण फिक्स के कारण मौजूद है। NOTE: कई अनुप्रयोगों के वर्तमान संस्करणों में, IP एड्रेस 0 (0.0.0.0 के रूप में व्याख्यायित) के लिए कनेक्शन प्रयास net::ERR_ADDRESS_INVALID जैसे त्रुटि संदेशों के साथ अवरुद्ध कर दिए जाते हैं। हालाँकि, कुछ स्थितियों में जो एप्लिकेशन संस्करण और ऑपरेटिंग सिस्टम दोनों पर निर्भर करती हैं, 0 और 0.0.0.0 के लिए कनेक्शन प्रयास 127.0.0.1 (और इस कारण, isPublic का एक गलत मान बेहतर होगा) के लिए कनेक्शन प्रयास माने जाते हैं।

इस SSRF भेद्यता का उपयोग करके, एक हमलावर आंतरिक सेवाओं तक पहुँच प्राप्त कर सकता है जो आमतौर पर बाहरी नेटवर्क से दुर्गम होती हैं। हमलावर आंतरिक डेटाबेस, प्रबंधन इंटरफेस या अन्य संवेदनशील संसाधनों तक पहुँच प्राप्त कर सकते हैं। यह भेद्यता विशेष रूप से उन अनुप्रयोगों में गंभीर हो सकती है जो आंतरिक सेवाओं के साथ संवाद करने के लिए ip पैकेज का उपयोग करते हैं। CVE-2024-29415 के समान, यह भेद्यता आंतरिक नेटवर्क स्कैनिंग और संभावित रूप से डेटा एक्सफ़िल्ट्रेशन की अनुमति दे सकती है। कुछ मामलों में, 0.0.0.0 जैसे IP पतों पर कनेक्शन प्रयासों को त्रुटि संदेशों के साथ अवरुद्ध किया जा सकता है, लेकिन कुछ एप्लिकेशन संस्करणों और ऑपरेटिंग सिस्टम के संयोजन में, ये प्रयास 127.0.0.1 (लोकलहोस्ट) पर निर्देशित हो सकते हैं, जिससे आंतरिक सेवाओं तक पहुँच प्राप्त हो सकती है।

Applications built on Node.js that utilize the node-ip package, particularly those deployed in shared hosting environments or those that process user-supplied IP addresses without proper validation, are at risk. Legacy applications using older versions of Node.js and the node-ip package are also vulnerable.

• nodejs / server:

  npm list ip --depth=0  # Check installed version
  grep -r 'ip.isPublic(0)' . # Search for usage of vulnerable function

• generic web:

  curl -I <application_endpoint_using_ip_package> # Check response headers for unexpected internal IPs
  grep '0.0.0.0' /var/log/nginx/access.log # Monitor access logs for connections to 0.0.0.0

1. 2025-09-16Disclosure

   disclosure

2. 2025-09-16Patch

   patch

1. आरक्षित2025-09-16
2. प्रकाशित2025-09-16
3. EPSS अद्यतन2026-03-23

CVE-2025-59437 को कम करने के लिए, ip पैकेज को संस्करण 2.0.2 या उच्चतर में अपग्रेड करना आवश्यक है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके 0.0.0.0 जैसे आंतरिक IP पतों पर कनेक्शन प्रयासों को ब्लॉक किया जा सकता है। इसके अतिरिक्त, एप्लिकेशन कोड की समीक्षा करके यह सुनिश्चित किया जा सकता है कि यह आंतरिक IP पतों के साथ कनेक्शन को मान्य करता है और केवल विश्वसनीय स्रोतों से कनेक्शन की अनुमति देता है। अपग्रेड के बाद, यह सत्यापित करें कि आंतरिक सेवाओं तक अनधिकृत पहुँच को रोकने के लिए कनेक्शन फ़िल्टरिंग ठीक से काम कर रही है।

अंतिम अपडेट

2.0.127 महीने पहले