CVE-2026-30827 in express-rate-limit
요약
\~에 의해 VulDB • 2026. 05. 16.
express-rate-limit은 Express용 기본 속도 제한 미들웨어입니다. 버전 8.0.0 이상이고 8.0.2, 8.1.1, 8.2.2, 8.3.0 미만인 버전에서 express-rate-limit의 기본 keyGenerator는 net.isIPv6()이 true를 반환하는 모든 주소에 대해 IPv6 서브넷 마스킹(/56 기본값)을 적용합니다. 여기에는 Node.js가 듀얼 스택 서버에서 request.ip로 반환하는 IPv4 매핑 IPv6 주소(::ffff:x.x.x.x)도 포함됩니다. 모든 IPv4 매핑 주소의 첫 80비트는 0이므로, /56(또는 /32부터 /80까지의 모든 서브넷 마스크) 서브넷 마스크는 모든 IPv4 클라이언트에 대해 동일한 네트워크 키(::/56)를 생성합니다. 이로 인해 모든 IPv4 트래픽이 단일 속도 제한 버킷으로 병합됩니다. 즉, 한 클라이언트가 제한치를 소진하면 다른 모든 IPv4 클라이언트에 대해 HTTP 429가 발생합니다. 이 문제는 버전 8.0.2, 8.1.1, 8.2.2 및 8.3.0에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.