CVE-2026-69183 in Monkeytype
Zusammenfassung
von VulDB • 20.08.2026
Monkeytype ist ein minimalistischer und anpassbarer Typetest. In den Versionen 26.26.0 und früher verwendet der Backend-Rate-Limit-Schlüsselerzeuger in backend/src/middlewares/rate-limit.ts clientgesteuerte Header wie cf-connecting-ip und x-forwarded-for, bevor der von trust-proxy abgeleitete req.ip-Wert berücksichtigt wird. Ein nicht authentifizierter Angreifer kann entweder diesen Header rotieren, um für jede Anfrage einen neuen Bucket zu erstellen, wodurch rootRateLimiter, badAuthRateLimiter, getKey() sowie die Fallback-Funktion getKeyWithUid(), die von öffentlichen Endpunkten verwendet wird, umgangen werden. Dies ermöglicht wiederholte POST-Anfragen an /users/forgotPasswordEmail und verificationEmail, was zu Mail-Bombing registrierter Benutzer führt, Firebase- oder SMTP-Kontingente erschöpft, Brute-Force-Schutzmaßnahmen aushebelt und Ressourcenerschöpfung (Resource Exhaustion) ermöglicht. Die Ausnutzbarkeit von cf-connecting-ip hängt von der Deployment-Topologie ab; x-forwarded-for sowie direkte Origin-Pfade bleiben jedoch betroffen, wenn diese Werte nicht von einem vertrauenswürdigen Proxy überschrieben werden. Zum Zeitpunkt dieser Überprüfung ist keine feste Version verfügbar.
If you want to get best quality of vulnerability data, you may have to visit VulDB.