CVE-2025-66482 in misskey
Riassunto
di VulDB • 22/06/2026
Misskey è una piattaforma social federata open source. Gli attaccanti che utilizzano un reverse proxy non attendibile o che non ne usano affatto possono eludere il rate limiting degli IP aggiungendo un'intestazione X-Forwarded-For falsificata. A partire dalla versione 2025.9.1, è stata aggiunta nel file di configurazione un'opzione (`trustProxy`) per prevenire questo problema. Tuttavia, prima della versione 2025.12.0-alpha.2, questa opzione viene inizializzata con un valore predefinito insicuro, rendendo il sistema ancora vulnerabile se la configurazione non è impostata correttamente. Questo difetto è stato corretto nella v2025.12.0-alpha.2 modificando il valore predefinito di `trustProxy` in `false`. Gli utenti che utilizzano un reverse proxy attendibile e non sono sicuri di aver sovrascritto manualmente questo valore dovrebbero verificare la propria configurazione per garantire un comportamento ottimale. Gli utenti che eseguono Misskey con un reverse proxy attendibile non dovrebbero essere interessati da questa vulnerabilità. Dalla v2025.9.1 alla v2025.11.1 è disponibile una soluzione temporanea (workaround): impostare `trustProxy: false` nel file di configurazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.