CVE-2026-11922 in zenml
요약
\~에 의해 VulDB • 2026. 07. 24.
zenml-io/zenml 버전 0.57.0부터 0.94.2까지의 취약점으로, 공격자가 `X-Forwarded-For` 헤더를 변경하여 `POST /api/v1/login` 및 자체 비밀번호 변경 엔드포인트에 대한 속도 제한(rate-limiting)을 우회할 수 있습니다. Uvicorn이 `--proxy-headers --forwarded-allow-ips *` 옵션으로 실행될 때, 속도 제한기는 `X-Forwarded-For` 헤더에서 파생된 `request.client.host`를 기준으로 요청을 키(key)로 사용합니다. 이 구성은 클라이언트가 `request.client.host` 값을 제어할 수 있게 하여 결과적으로 속도 제한 보호 장치를 우회하게 만듭니다. 이로 인해 영향을 받는 엔드포인트가 제어가 없는 자격 증명 추측 공격(credential guessing attacks)에 노출됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.