---
cve: "CVE-2023-42282"
severity: "CRITICAL"
cvss: 9.8
epss: "1.6%"
vendor: "n/a"
kev: false
exploited: false
published: "2024-02-08 17:15:10"
tags: [cve, security, critical]
source: tsecurity.de CVE-Dossier
exported: "2026-10-23T16:13:21+02:00"
---

# CVE-2023-42282

> 9.8 CRITICAL · 🧪 PoC

## Beschreibung

The ip package before 1.1.9 for Node.js might allow SSRF because some IP addresses (such as 0x7f.1) are improperly categorized as globally routable via isPublic.

## CNA-Record (Kanon, cvelistV5)

- CNA: **mitre**
- State: PUBLISHED
- Stand: 2025-05-15 19:42:13

## CISA-Anreicherung (vulnrichment/ADP)

- CISA-SSVC (Coordinator, v2.0.3):
  - Exploitation: **poc**
  - Automatable: **yes**
  - Technical Impact: **total**

## CVSS-Vektor

```
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
```

| Metrik | Wert | Bewertung |
|---|---|---|
| AV Angriffsvektor | Netzwerk | bad |
| AC Komplexität | Gering | bad |
| PR Privilegien | Keine | bad |
| UI Interaktion | Keine | bad |
| S Scope | Unverändert | good |
| C Vertraulichkeit | Hoch | bad |
| I Integrität | Hoch | bad |
| A Verfügbarkeit | Hoch | bad |

## Schwachstellen-Klasse

- **CWE-918** — Server-Side Request Forgery (SSRF)
  The web server receives a URL or similar request from an upstream component and retrieves the contents of this URL, but it does not sufficiently ensure that the request is being sent to the expected destination.

## Angriffsmuster (CAPEC)

- [CAPEC-664 — Server Side Request Forgery](https://capec.mitre.org/data/definitions/664.html) _(Severity: High)_

## Patch verfügbar (OSV)

- 1ecbf2fd8c0cc85e44c3b587d2de641f50dc0217 (Commit)
- 6a3ada9b471b09d5f0f5be264911ab564bf67894 (Commit)

## BSI-Hinweise (deutsch)

- [NetApp ActiveIQ Unified Manager: Schwachstelle ermöglicht Offenlegung von Informationen, Denial of Service und Manipulation von Daten](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2026-0455) — _BSI-Einstufung: hoch_
  Ein entfernter, anonymer Angreifer kann eine Schwachstelle in NetApp ActiveIQ Unified Manager ausnutzen, um Informationen offenzulegen, um einen Denial of Service Angriff durchzuführen, und um Daten zu manipulieren.
- [Red Hat OpenShift: Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2024-3542) — _BSI-Einstufung: hoch_
  Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Red Hat OpenShift ausnutzen, um Dateien zu manipulieren, um Sicherheitsmaßnahmen zu umgehen, einen Denial-of-Service-Zustand zu erzeugen, beliebigen Code auszuführen und einen Cross-Site-Scripting-Angriff durchzuführen.
- [HCL BigFix: Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2024-1590) — _BSI-Einstufung: hoch_
  Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in HCL BigFix ausnutzen, um einen Denial of Service Angriff durchzuführen, ertrauliche Informationen preiszugeben, Daten zu manipulieren und Sicherheitsmaßnahmen zu umgehen.

## Referenzen

- <https://cosmosofcyberspace.github.io/npm_ip_cve/npm_ip_cve.html>
- <https://github.com/indutny/node-ip/commit/6a3ada9b471b09d5f0f5be264911ab564bf67894>
- <https://huntr.com/bounties/bfc3b23f-ddc0-4ee7-afab-223b07115ed3/>
- <https://security.netapp.com/advisory/ntap-20240315-0008/>
- <https://www.bleepingcomputer.com/news/security/dev-rejects-cve-severity-makes-his-github-repo-read-only/>

---
_Exportiert aus dem [tsecurity.de CVE-Dossier](https://tsecurity.de/sicherheitsluecken/cve-2023-42282/) · Datenquellen: EUVD (ENISA), NVD, OSV, CISA KEV, FIRST EPSS, Exploit-DB, BSI WID (CSAF)_