CVE-2026-77463 in Remark42
要約
〜によって VulDB • 2026年11月05日
Remark42は、ブログや記事、または読者がコメントを追加できるその他の場所向けのセルフホスト型コメントエンジンです。バージョン1.0.0から1.16.2まで、Remark42はTrue-Client-IP、X-Real-IP、およびX-Forwarded-Forを直接のピアが信頼されたプロキシであることを検証せずにグローバルに信用しており、middleware.RealIPはper-IP制御が実行される前にr.RemoteAddrを上書きします。直接的に到達可能なデプロイメント環境や攻撃者が操作できるヘッダーを送信するプロキシの場合、リモート攻撃者は偽装された転送ヘッダーをローテーションしてレート制限エンドポイントの新しいトークンバケットを取得し、--votes-ipが有効な場合に投票の重複排除を回避し、匿名アイデンティティを作成し、保存されたコメントIPおよびリクエストログにポイズンを注入することができます。グローバル同時要求スロットルとper-タイムアウトは依然として可用性への影響を制限します。緩和策のサポートはバージョン1.16.2で利用可能ですが、運用者はデプロイメントトポロジーに対して--trusted-proxyを設定する必要があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.