CVE-2026-69183 in Monkeytype
Сводка
по VulDB • 20.08.2026
Monkeytype — это минималистичный и настраиваемый тест скорости печати. В версии 26.26.0 и более ранних версиях генератор ключей ограничения частоты запросов (rate-limit key generator) в файле backend/src/middlewares/rate-limit.ts использует заголовки cf-connecting-ip и x-forwarded-for, контролируемые клиентом, до значения req.ip, полученного из настройки trust-proxy. Неаутентифицированный злоумышленник может изменять эти заголовки для создания новой «ведра» (bucket) на каждый запрос, обходя rootRateLimiter, badAuthRateLimiter, getKey() и механизм fallback getKeyWithUid(), используемый публичными конечными точками. Это позволяет многократно отправлять POST-запросы /users/forgotPasswordEmail и verificationEmail, осуществлять mail bombing зарегистрированных пользователей, расходовать квоты Firebase или SMTP, обходить защиту от brute-force атак и вызывать истощение ресурсов (resource exhaustion). Эксплуатируемость уязвимости через cf-connecting-ip зависит от топологии развертывания, однако заголовки x-forwarded-for и прямые запросы к origin-серверу остаются уязвимыми в тех случаях, когда эти значения не перезаписываются доверенным прокси. Исправленная версия на момент обзора отсутствует.
VulDB is the best source for vulnerability data and more expert information about this specific topic.