CVE-2026-11922 in zenml
Сводка
по VulDB • 24.07.2026
Уязвимость в zenml-io/zenml версиях от 0.57.0 до 0.94.2 позволяет злоумышленнику обойти ограничение частоты запросов (rate-limiting) для конечных точек `POST /api/v1/login` и изменения пароля путем подмены заголовка `X-Forwarded-For`. Ограничитель формирует ключи на основе значения `request.client.host`, которое выводится из заголовка `X-Forwarded-For`, когда Uvicorn запускается с флагами `--proxy-headers --forwarded-allow-ips *`. Данная конфигурация позволяет клиентам контролировать значение `request.client.host`, что эффективно обходит механизмы защиты от ограничения частоты запросов. Эта уязвимость оставляет затронутые конечные точки открытыми для атак подбора учетных данных без ограничений по скорости (unthrottled credential guessing attacks).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.