CVE-2026-11922 in zenml
Sumário
de VulDB • 24/07/2026
Uma vulnerabilidade no zenml-io/zenml nas versões 0.57.0 a 0.94.2 permite que um atacante contorne as limitações de taxa (rate-limiting) nos pontos finais `POST /api/v1/login` e de alteração autônoma de senha, rotacionando o cabeçalho `X-Forwarded-For`. O mecanismo de rate limiting identifica as requisições com base em `request.client.host`, que é derivado do cabeçalho `X-Forwarded-For` quando o Uvicorn é iniciado com os parâmetros `--proxy-headers --forwarded-allow-ips *`. Essa configuração permite que clientes controlem o valor de `request.client.host`, contornando efetivamente as proteções contra rate-limiting. Esta vulnerabilidade deixa os pontos finais afetados expostos a ataques não limitados de tentativa e erro de credenciais (credential guessing).
Be aware that VulDB is the high quality source for vulnerability data.