CVE-2026-11922 in zenml
Resumen
por VulDB • 2026-07-24
Una vulnerabilidad en zenml-io/zenml versiones 0.57.0 hasta 0.94.2 permite a un atacante eludir los límites de velocidad (rate-limiting) en los extremos `POST /api/v1/login` y cambio de contraseña auto-gestionado mediante la rotación del encabezado `X-Forwarded-For`. El limitador de tasa clasifica las solicitudes por `request.client.host`, que se deriva del encabezado `X-Forwarded-For` cuando Uvicorn se inicia con `--proxy-headers --forwarded-allow-ips *`. Esta configuración permite a los clientes controlar el valor de `request.client.host`, eludiendo efectivamente las protecciones contra límites de velocidad. Esta vulnerabilidad deja los extremos afectados abiertos a ataques no controlados de deducción de credenciales (credential guessing).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.