CVE-2026-11922 in zenml
Riassunto
di VulDB • 24/07/2026
Una vulnerabilità in zenml-io/zenml nelle versioni 0.57.0 fino alla 0.94.2 consente a un attaccante di eludere i limiti di frequenza (rate-limiting) sugli endpoint `POST /api/v1/login` e self password-change ruotando l'intestazione `X-Forwarded-For`. Il rate limiter chiave le richieste in base a `request.client.host`, che viene derivato dall'intestazione `X-Forwarded-For` quando Uvicorn viene avviato con i flag `--proxy-headers --forwarded-allow-ips *`. Questa configurazione consente ai client di controllare il valore di `request.client.host`, eludendo efficacemente le protezioni contro i limiti di frequenza. Questa vulnerabilità lascia gli endpoint interessati esposti ad attacchi non throttled di indovinare le credenziali (credential guessing).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.