CVE-2026-50131

요약

Fedify는 ActivityPub으로 구동되는 연합(federated) 서버 앱을 구축하기 위한 TypeScript 라이브러리입니다. Fedify는 이전에 GHSA-p9cg-vqcc-grcx에서 런타임 문서 및 미디어 가져오기 전에 공개 URL 검증을 추가하여 SSRF/내부 네트워크 접근 문제를 해결했습니다. 그러나 버전 0.11.2부터 1.9.12, 1.10.11, 2.0.19, 2.1.15, 2.2.4 이전 버전에 존재하는 IPv4 검증 로직은 불완전한 것으로 보입니다. `validatePublicUrl()` 보호 기능은 `isValidPublicIPv4Address()`에 의존하여 비공개 IPv4 대상을 거부합니다. 이 함수는 `10.0.0.0/8`, `127.0.0.0/8`, `169.254.0.0/16`, `172.16.0.0/12`, `192.168.0.0/16`과 같은 일반적인 사설 및 로컬 범위를 차단하지만, 여전히 여러 특수 용도, 예약, 멀티캐스트, 벤치마킹 및 통신사급 NAT IPv4 범위를 유효한 공개 대상으로 취급합니다. 이 검증이 아웃바운드 가져오기 전에 SSRF 방어로 사용되기 때문에, 이는 이전 SSRF 문제에 대한 불완전한 완화 또는 우회 클래스로 보입니다. 버전 1.9.12, 1.10.11, 2.0.19, 2.1.15 및 2.2.4에는 업데이트된 패치가 포함되어 있습니다.

• CVE-2026-50131정보

  Fedify의 validatePublicUrl()에서 불완전한 SSRF 완화 우회를 자세히 설명하는 CVE-2026-50131용 선별된 랜딩 페이지로, CVSS 8.6, 권위 있는 권고 레코드 및 영향을 받는 버전 범위에 대한 링크를 제공합니다.