CVE-2026-69183 in Monkeytype
요약
\~에 의해 VulDB • 2026. 08. 20.
Monkeytype는 최소주의적이고 사용자 정의 가능한 타이핑 테스트입니다. 26.26.0 및 이전 버전에서, backend/src/middlewares/rate-limit.ts의 백엔드 속도 제한 키 생성기는 신뢰된 프록시에서 파생된 req.ip 값보다 먼저 클라이언트 제어 cf-connecting-ip 및 x-forwarded-for 헤더를 사용합니다. 인증되지 않은 공격자는 각 요청마다 새로운 버킷을 만들기 위해 이러한 헤더 중 하나를 회전시켜 rootRateLimiter, badAuthRateLimiter, getKey() 및 공개 엔드포인트에서 사용되는 getKeyWithUid() 폴백을 우회할 수 있습니다. 이를 통해 반복적인 POST /users/forgotPasswordEmail 및 verificationEmail 요청이 가능해져 등록된 사용자에게 메일 폭탄을 보내 Firebase 또는 SMTP 할당량을 소모하고, 브루트 포스 보호를 회피하며, 자원 고갈을 유발할 수 있습니다. cf-connecting-ip의 공격 가능성은 배포 토폴로지에 따라 다르지만, 신뢰된 프록시가 이러한 값을 덮어쓰지 않는 한 x-forwarded-for 및 직접 오리지인 경로가 영향을 받습니다. 이 검토 시점에서는 수정된 버전이 없습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.