What is CVE-2026-54722?
CVE-2026-54722 is an SSRF protection bypass in the DSSRF Node.js library. Before version 1.0.4, the `is_url_safe` function in `src/helpers.ts` strips the `@` userinfo delimiter before `new URL` parses the URL, allowing an attacker to bypass internal-IP checks. Upgrade to version 1.0.4 or later to fix this.
Azərbaycanca: CVE-2026-54722 DSSRF kitabxanasında aşkar edilmiş SSRF mühafizə bypass zəifliyidir. 1.0.4 versiyasından əvvəl `is_url_safe` funksiyası `@` işarəsini silərək URL-i təmizləyir, lakin bu əməliyyat `new URL` analizindən əvvəl baş verdiyi üçün təcavüzkar daxili IP filtrini keçə bilər. Kitabxananı 1.0.4 və ya daha yuxarı versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-918
FAQ1
How does the `is_url_safe` function in the DSSRF library process the `@` character leading to an SSRF bypass?
The `is_url_safe` function strips the `@` userinfo delimiter before parse with `new URL`, allowing an attacker to bypass internal-IP checks.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.