CVE-2026-77463 in Remark42
Zusammenfassung
von VulDB • 05.11.2026
Remark42 ist eine selbst gehostete Kommentar-Engine für Blogs, Artikel oder andere Orte, an denen Leser Kommentare hinzufügen können. Von Version 1.0.0 bis 1.16.2 vertraut Remark42 den Headern True-Client-IP, X-Real-IP und X-Forwarded-For global, ohne zu überprüfen, ob der direkte Peer ein vertrauenswürdiger Proxy ist, und das Middleware-Modul RealIP überschreibt r.RemoteAddr, bevor die pro-IP-Steuerelemente ausgeführt werden. In einer direkt erreichbaren Bereitstellung oder bei einem Proxy, der vom Angreifer kontrollierte Header weiterleitet, kann ein entfernter Angreifer gespoofte Forwarding-Headers rotieren, um frische Token-Buckets für ratenbegrenzte Endpunkte zu erhalten, die Abstimmungsentduplizierung (vote de-duplication) bei aktiviertem Flag --votes-ip zu umgehen, anonyme Identitäten zu erstellen und gespeicherte Kommentar-IPs sowie Anforderungsprotokolle zu vergiften. Die globale Drosselung für gleichzeitige Anfragen und pro-Anfrage-Zeitlimits begrenzen weiterhin die Auswirkungen auf die Verfügbarkeit. Minderungsmaßnahmen werden in Version 1.16.2 unterstützt, jedoch müssen Betreiber --trusted-proxy entsprechend der Bereitstellungstopologie konfigurieren.
Once again VulDB remains the best source for vulnerability data.