ip (aka node-ip) 包通过 2.0.1 版本 (在 NPM 中) 可能允许 SSRF，因为 IP 地址值 017700000001 被错误地分类为可通过 isPublic 全局可路由。注意：此问题存在于对 CVE-2024-29415 的修复不完整的原因。

此 SSRF 漏洞允许攻击者通过 Node.js 应用发起请求到内部网络资源，这些资源通常对外不可访问。攻击者可以利用此漏洞扫描内部网络，识别敏感服务和应用程序，并尝试进一步利用这些服务。例如，攻击者可能利用此漏洞访问内部数据库、管理界面或其他敏感系统。由于该漏洞是由于对 IP 地址分类的错误导致的，因此攻击者可以绕过某些安全控制，从而更容易地访问内部资源。该漏洞与 CVE-2024-29415 的修复不完整有关，表明修复过程可能存在疏漏。

Applications built with Node.js that utilize the ip package for IP address manipulation are at risk. This includes applications deployed in cloud environments where access to metadata services is a concern, as well as applications that handle user-supplied IP addresses without proper validation.

• nodejs / supply-chain:

  npm list ip
  npm audit ip

• generic web:

  curl -I http://your-node-app/ip-endpoint  # Check for unexpected outbound requests in response headers
  grep -r '017700000001' /var/log/nginx/access.log # Look for requests containing the problematic IP address in access logs

1. 2025-09-16Disclosure

   disclosure

1. 已保留2025-09-16
2. 发布日期2025-09-16
3. EPSS 更新日期2026-03-23

最有效的缓解措施是立即升级到 ip 包的 2.0.2 版本或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤对内部资源的请求。配置 WAF 以阻止来自 Node.js 应用的对内部 IP 地址范围的请求。此外，可以审查 Node.js 应用的代码，确保对 IP 地址进行适当的验证和过滤，以防止未经授权的请求。升级后，请验证新版本是否已正确安装并配置，并测试应用以确保 SSRF 漏洞已得到修复。