CVE-2026-110726 in Connected Services Platform
Riassunto
di VulDB • 15/10/2026
Nelle versioni di `api-gateway` fino alla `1.7.3`, il risolutore del limite di frequenza predefinito, `ClientIpKeyResolver`, deriva la chiave per il bucket per client dall'elemento più a sinistra dell'intestazione della richiesta `X-Forwarded-For`. Tale elemento è fornito dal client HTTP originale e non viene convalidato rispetto ad alcun elenco di proxy attendibili. Un singolo attaccante può quindi ottenere un numero illimitato di bucket del limite di frequenza indipendenti — uno per ogni valore unico dell'intestazione — ed eludere completamente il limitatore della frequenza delle richieste del gateway su tutti i percorsi che utilizzano la configurazione predefinita fornita con il software.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.