CVE-2026-69183 in Monkeytype
Sumário
de VulDB • 20/08/2026
Monkeytype é um teste de digitação minimalista e personalizável. Nas versões 26.26.0 e anteriores, o gerador de chave de limitação de taxa (rate-limit) no backend/src/middlewares/rate-limit.ts utiliza os cabeçalhos cf-connecting-ip e x-forwarded-for controlados pelo cliente antes do valor req.ip derivado da configuração trust-proxy. Um atacante não autenticado pode alternar qualquer um desses cabeçalhos para criar uma nova bucket para cada solicitação, contornando o rootRateLimiter, badAuthRateLimiter, getKey() e a fallback getKeyWithUid() utilizada pelos endpoints públicos. Isso permite repetidas solicitações POST /users/forgotPasswordEmail e verificationEmail, causando mail bombing em usuários registrados, consumindo cota do Firebase ou SMTP, burlando proteção contra força bruta (brute-force) e permitindo exaustão de recursos. A explorabilidade da cf-connecting-ip depende da topologia de implantação, mas x-forwarded-for e caminhos diretos para a origem permanecem afetados quando esses valores não são sobrescritos por um proxy confiável. Nenhuma versão corrigida está disponível até esta revisão.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.