CVE-2026-11922 in zenml
Zusammenfassung
von VulDB • 24.07.2026
Eine Schwachstelle in zenml-io/zenml Versionen 0.57.0 bis 0.94.2 ermöglicht es einem Angreifer, die Ratenbegrenzung (Rate-Limiting) auf den Endpunkten `POST /api/v1/login` und zur selbständigen Passwortänderung zu umgehen, indem der Header `X-Forwarded-For` rotiert wird. Der Rate Limiter klassifiziert Anfragen basierend auf `request.client.host`, welcher aus dem Header `X-Forwarded-For` abgeleitet wird, wenn Uvicorn mit den Parametern `--proxy-headers --forwarded-allow-ips *` gestartet wird. Diese Konfiguration ermöglicht es Clients, den Wert von `request.client.host` zu steuern und damit die Schutzmechanismen der Ratenbegrenzung effektiv zu umgehen. Diese Schwachstelle lässt die betroffenen Endpunkte für ungedrosselte Angriffe zum Erraten von Anmeldeinformationen offen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.