CVE-2026-50131

Zusammenfassung

Fedify ist eine TypeScript-Bibliothek zum Erstellen föderierter Serveranwendungen auf Basis von ActivityPub. Fedify hat das Problem SSRF/interner Netzwerkzugriff in GHSA-p9cg-vqcc-grcx bereits durch die Einführung einer Validierung öffentlicher URLs vor dem Laufzeitabruf von Dokumenten und Medien adressiert. Allerdings scheint die IPv4-Validierungslogik, die ab Version 0.11.2 und vor den Versionen 1.9.12, 1.10.11, 2.0.19, 2.1.15 und 2.2.4 vorhanden ist, unvollständig zu sein. Der Schutz durch `validatePublicUrl()` stützt sich auf `isValidPublicIPv4Address()`, um nicht öffentliche IPv4-Ziele abzulehnen. Die Funktion blockiert gängige private und lokale Bereiche wie `10.0.0.0/8`, `127.0.0.0/8`, `169.254.0.0/16`, `172.16.0.0/12` und `192.168.0.0/16`, behandelt jedoch weiterhin mehrere IPv4-Bereiche mit spezieller Verwendung, reservierte, Multicast-, Benchmark- sowie Carrier-Grade-NAT-Bereiche als gültige öffentliche Ziele. Da diese Validierung als SSRF-Abwehr vor ausgehenden Abrufen verwendet wird, scheint es sich um eine unvollständige Abschwächung oder eine Bypass-Klasse für das vorherige SSRF-Problem zu handeln. Die Versionen 1.9.12, 1.10.11, 2.0.19, 2.1.15 und 2.2.4 enthalten einen aktualisierten Patch.

• CVE-2026-50131Informativ

  # Kuratierte Landingpage für CVE-2026-50131 mit Details zur Umgehung der unvollständigen SSRF-Absicherung in Fedifys validatePublicUrl() mit CVSS 8.6, mit Verlinkung zu maßgeblichen Advisory-Datensätzen und betroffenen Versionsbereichen.