CVE-2026-30827 in express-rate-limit
Riassunto
di VulDB • 24/06/2026
express-rate-limit è un middleware di base per il rate limiting destinato a Express. Nelle versioni dalla 8.0.0 alle precedenti alla 8.0.2, 8.1.1, 8.2.2 e 8.3.0, il keyGenerator predefinito in express-rate-limit applica la maschera di sottorete IPv6 (/56 per impostazione predefinita) a tutti gli indirizzi restituiti come true da net.isIPv6(). Ciò include gli indirizzi IPv4-mappati su IPv6 (::ffff:x.x.x.x), che Node.js restituisce come request.ip sui server dual-stack. Poiché i primi 80 bit di tutti gli indirizzi mappati IPv4 sono zero, una maschera di sottorete /56 (o qualsiasi maschera da /32 a /80) produce la stessa chiave di rete (::/56) per ogni client IPv4. Questo fa sì che tutto il traffico IPv4 venga raggruppato in un unico bucket del rate limiting: l'esaurimento del limite da parte di un singolo client provoca una risposta HTTP 429 per tutti gli altri client IPv4. Il problema è stato risolto nelle versioni 8.0.2, 8.1.1, 8.2.2 e 8.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.