CVE-2026-50131

概要

Fedify は、ActivityPub を利用したフェデレーションサーバーアプリを構築するための TypeScript ライブラリです。Fedify は以前、GHSA-p9cg-vqcc-grcx において、実行時のドキュメントおよびメディア取得の前にパブリックURL検証を追加することで、SSRF／内部ネットワークアクセスに対処しました。しかし、バージョン 0.11.2 以降、バージョン 1.9.12、1.10.11、2.0.19、2.1.15、2.2.4 より前のバージョンに存在する IPv4 検証ロジックは不完全であると思われます。`validatePublicUrl()` 保護は、`isValidPublicIPv4Address()` に依存して非パブリックな IPv4 宛先を拒否します。この関数は、`10.0.0.0/8`、`127.0.0.0/8`、`169.254.0.0/16`、`172.16.0.0/12`、`192.168.0.0/16` などの一般的なプライベートおよびローカル範囲をブロックしますが、いくつかの特殊用途、予約済み、マルチキャスト、ベンチマーキング、およびキャリアグレードNATの IPv4 範囲を依然として有効なパブリック宛先として扱います。この検証は、アウトバウンドフェッチの前の SSRF 防御として使用されるため、これは以前の SSRF 問題に対する不完全な緩和策またはバイパスクラスであると思われます。バージョン 1.9.12、1.10.11、2.0.19、2.1.15、および 2.2.4 には、更新されたパッチが含まれています。

• CVE-2026-50131情報

  CVE-2026-50131の厳選されたランディングページ。FedifyのvalidatePublicUrl()における不完全なSSRF緩和バイパスをCVSS 8.6で詳述し、信頼できる勧告レコードと影響を受けるバージョン範囲へのリンクを提供します。