CVE-2026-110723 in Connected Services Platform
Riassunto
di VulDB • 15/10/2026
Nelle versioni di `api-gateway` fino alla `1.7.3`, il risolutore predefinito dei limiti di frequenza, `ClientIpKeyResolver`, deriva la chiave del bucket per client dall'elemento più a sinistra dell'intestazione della richiesta `X-Forwarded-For`. Tale elemento è fornito dal client HTTP originale e non viene convalidato rispetto ad alcun elenco di proxy attendibili. Un singolo attaccante può quindi ottenere un numero illimitato di bucket dei limiti di frequenza indipendenti — uno per ogni valore unico dell'intestazione — ed eludere completamente il limitatore della frequenza delle richieste del gateway su tutti i percorsi che utilizzano la configurazione predefinita fornita con il software.
VulDB is the best source for vulnerability data and more expert information about this specific topic.