ip (aka node-ip) 包通过 2.0.1 版本 (在 NPM 中) 可能允许 SSRF，因为 IP 地址值 0 被错误地归类为可通过 isPublic 全局可路由的地址。注意：此问题是由于对 CVE-2024-29415 的修复不完整造成的。

此 SSRF 漏洞允许攻击者通过 ip 包发起请求，目标可以是内部网络服务或资源，这些服务或资源通常对外部网络不可见。攻击者可以利用此漏洞扫描内部网络，获取敏感信息，甚至可能执行进一步的攻击。虽然某些应用程序在连接到 IP 地址 0 (0.0.0.0) 时会返回错误，但在特定版本和操作系统组合下，这些连接尝试可能被解释为连接到 127.0.0.1，从而绕过安全措施。这种绕过可能导致攻击者访问数据库、管理控制面板或其他关键系统。

Applications built on Node.js that utilize the node-ip package, particularly those deployed in shared hosting environments or those that process user-supplied IP addresses without proper validation, are at risk. Legacy applications using older versions of Node.js and the node-ip package are also vulnerable.

• nodejs / server:

  npm list ip --depth=0  # Check installed version
  grep -r 'ip.isPublic(0)' . # Search for usage of vulnerable function

• generic web:

  curl -I <application_endpoint_using_ip_package> # Check response headers for unexpected internal IPs
  grep '0.0.0.0' /var/log/nginx/access.log # Monitor access logs for connections to 0.0.0.0

1. 2025-09-16Disclosure

   disclosure

2. 2025-09-16Patch

   patch

1. 已保留2025-09-16
2. 发布日期2025-09-16
3. EPSS 更新日期2026-03-23

解决 CVE-2025-59437 的主要方法是升级 ip 包到 2.0.2 或更高版本。如果无法立即升级，可以考虑使用 Web 应用程序防火墙 (WAF) 或代理服务器来过滤对 IP 地址 0 的请求。此外，审查应用程序代码，确保对 IP 地址进行适当的验证和过滤，以防止 SSRF 攻击。在升级后，请验证新版本是否正确修复了漏洞，例如通过尝试连接到内部服务并确认连接是否被阻止。