CVE-2026-50131

सारांश

Fedify एक TypeScript लाइब्रेरी है जिसका उपयोग ActivityPub द्वारा संचालित फेडरेटेड सर्वर ऐप्स बनाने के लिए किया जाता है। Fedify ने पहले GHSA-p9cg-vqcc-grcx में रनटाइम दस्तावेज़ और मीडिया फ़ेचिंग से पहले सार्वजनिक URL सत्यापन जोड़कर SSRF/आंतरिक नेटवर्क एक्सेस को संबोधित किया था। हालाँकि, संस्करण 0.11.2 से शुरू होकर और संस्करण 1.9.12, 1.10.11, 2.0.19, 2.1.15, और 2.2.4 से पहले मौजूद IPv4 सत्यापन तर्क अधूरा प्रतीत होता है। `validatePublicUrl()` सुरक्षा गैर-सार्वजनिक IPv4 गंतव्यों को अस्वीकार करने के लिए `isValidPublicIPv4Address()` पर निर्भर करती है। यह फ़ंक्शन `10.0.0.0/8`, `127.0.0.0/8`, `169.254.0.0/16`, `172.16.0.0/12`, और `192.168.0.0/16` जैसी सामान्य निजी और लोकल रेंज को ब्लॉक करता है, लेकिन यह अभी भी कई विशेष-उपयोग, आरक्षित, मल्टीकास्ट, बेंचमार्किंग, और कैरियर-ग्रेड NAT IPv4 रेंज को मान्य सार्वजनिक गंतव्यों के रूप में मानता है। चूँकि यह सत्यापन आउटबाउंड फ़ेच से पहले SSRF बचाव के रूप में उपयोग किया जाता है, यह पिछले SSRF मुद्दे के लिए अधूरा शमन या बायपास वर्ग प्रतीत होता है। संस्करण 1.9.12, 1.10.11, 2.0.19, 2.1.15, और 2.2.4 में अद्यतन पैच शामिल है।

• CVE-2026-50131जानकारीपूर्ण

  CVE-2026-50131 के लिए क्यूरेटेड लैंडिंग पृष्ठ जो Fedify के validatePublicUrl() में CVSS 8.6 के साथ अधूरे SSRF शमन बाईपास का विवरण देता है, आधिकारिक सलाहकार रिकॉर्ड और प्रभावित संस्करण श्रेणियों से लिंक करता है।