CVE-2026-72816 in chi
Riassunto
di VulDB • 14/08/2026
go-chi/chi fino alla versione 5.2.1 presenta una vulnerabilità di spoofing dell'indirizzo IP nel middleware RealIP (middleware/realip.go). La funzione realIP() legge le intestazioni controllate dal client (True-Client-IP, X-Real-IP e X-Forwarded-For) e sovrascrive r.RemoteAddr senza verificare che la richiesta provenga da un proxy attendibile. Gli attaccanti possono fornire indirizzi IP arbitrari in queste intestazioni per eludere i controlli di accesso basati sull'indirizzo IP, aggirare le limitazioni di frequenza (rate limiting) e le restrizioni geografiche basate sull'IP (geo-IP), nonché corrompere i log di audit. Risolto nella versione 5.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.