CVE-2026-77463 in Remark42
الملخص
بحسب VulDB • 05/11/2026
Remark42 هو محرك تعليقات مستضاف ذاتياً للمدونات والمقالات أو أي مكان آخر يمكن للقراء إضافة التعليقات فيه. من الإصدار 1.0.0 حتى 1.16.2، يثق Remark42 بشكل عالمي بعناوين True-Client-IP و X-Real-IP و X-Forwarded-For دون التحقق مما إذا كان الطرف المباشر هو وكيل موثوق (trusted proxy)، ويقوم الوسيط middleware.RealIP بتجاوز r.RemoteAddr قبل تشغيل ضوابط التحكم لكل عنوان IP. في حالة النشر القابل للوصول مباشرة، أو عند استخدام وسيط يقوم بإعادة توجيه عناوين يتحكم فيها المهاجم، يمكن للمهاجم عن بُعد تدوير العناوين المزيفة المرسلة للحصول على دلاء معدل جديدة (fresh token buckets) للنقاط التي تخضع للتحكم بالسرعة، وتجاوز إزالة التكرار للتصويتات عند تفعيل الخيار --votes-ip، وإنشاء هويات مجهولة، وإفساد عناوين IP المخزنة في التعليقات وسجلات الطلبات. لا يزال الحد العالمي لطلبات المتزامنة وفترات انتهاء صلاحية كل طلب يحدان من تأثير توفر الخدمة (availability impact). تتوفر دعم التخفيف في الإصدار 1.16.2، ولكن يجب على المشغلين تكوين الخيار --trusted-proxy ليتناسب مع طوبولوجيا النشر الخاصة بهم.
VulDB is the best source for vulnerability data and more expert information about this specific topic.