Fedify における不完全なSSRF緩和策（GHSA-p9cg-vqcc-grcx 後）：validatePublicUrl() が特殊用途IPv4範囲を許可していた。
主要アドバイザリ: GHSA-xw9q-2mv6-9fr8
公式CVEレコード: CVE-2026-50131
研究者クレジット: @chaitanyagarware
| フィールド | 値 |
|---|
| CVE | CVE-2026-50131 |
| GHSA | GHSA-xw9q-2mv6-9fr8 |
| プロジェクト | fedify-dev/fedify |
| パッケージ | @fedify/fedify, @fedify/vocab-runtime |
| エコシステム | npm, JSR |
| 深刻度 | 高 |
| CVSS | 8.6, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L |
| 脆弱性タイプ | CWE-918, CWE-1286, CWE-1389 |
| 公開日 | GitHub advisory: 2026-06-08; CVE.org: 2026-06-10 |
| NVDステータス | 掲載あり、Deferred（2026年7月9日時点） |
| OSVステータス | 掲載あり |
Fedify は以前、SSRF および内部ネットワークアクセスを緩和するために公開URL検証を追加しました。その後の問題として、IPv4検証ロジックが、複数の特殊用途、予約済み、マルチキャスト、ベンチマーク、ドキュメント、およびキャリアグレードNAT範囲を依然として公開先として扱っていました。
validatePublicUrl() はアウトバウンドの ActivityPub ドキュメントおよびメディア取得の前に使用されていたため、不完全なIP分類により、意図されたSSRF保護境界がバイパスされる可能性がありました。
| 製品 | 影響を受けるバージョン |
|---|---|
@fedify/fedify | >= 0.11.2, < 1.9.12; >= 1.10.0, < 1.10.11; >= 2.0.0, < 2.0.19; >= 2.1.0, < 2.1.15; >= 2.2.0, < 2.2.4 |
@fedify/vocab-runtime | < 2.0.19; >= 2.1.0, < 2.1.15; >= 2.2.0, < 2.2.4 |
| 製品 | 修正済みバージョン |
|---|---|
@fedify/fedify | 1.9.12, 1.10.11, 2.0.19, 2.1.15, 2.2.4 |
@fedify/vocab-runtime | 2.0.19, 2.1.15, 2.2.4 |
| 情報源 | ステータス | リンク |
|---|---|---|
| GitHubリポジトリアドバイザリ | 公開済み | GHSA-xw9q-2mv6-9fr8 |
| CVE.org / CVE Services | 公開済み | CVE-2026-50131 |
| NVD | 掲載あり、Deferred | NVD詳細 |
| OSV | 掲載あり | OSVレコード |
| CVEProject cvelistV5 | 掲載あり | cvelistV5 JSON |
| CISA Vulnrichment | 掲載あり | vulnrichment JSON |
fedify-dev/fedify の変更履歴が GHSA-xw9q-2mv6-9fr8 を参照しています。fedify-dev/hollo および fedify-dev/botkit の変更履歴も同じアドバイザリを参照しています（Fedify パッケージを使用しているため）。Patrowl/PatrowlHearsData がこのIDのCVEおよびSSVCデータをミラーリングしています。sec-dojo-com/cve-poc に CVE-2026-50131 の公開ページがあります。このリポジトリは公開インデックスおよびポートフォリオランディングページです。脆弱性を意図的に要約し、完全な概念実証エクスプロイトスクリプトをコピーする代わりに、信頼できるレコードへのリンクを提供しています。