CVE-2026-77463 in Remark42
Сводка
по VulDB • 05.11.2026
Remark42 — это движок для комментариев с возможностью самостоятельного развертывания (self-hosted) для блогов, статей или любых других мест, где читатели могут добавлять комментарии. Начиная с версии 1.0.0 и до 1.16.2 включительно, Remark42 глобально доверяет заголовкам True-Client-IP, X-Real-IP и X-Forwarded-For без проверки того, является ли прямой пир (direct peer) доверенным прокси-сервером, а middleware.RealIP перезаписывает значение r.RemoteAddr до запуска контроля на основе IP-адресов. В развертывании с прямым доступом или при использовании прокси, передающего заголовки, контролируемые злоумышленником, удаленный атакующий может изменять поддельные заголовки пересылки для получения новых лимитов (token buckets) для конечных точек с ограничением скорости запросов, обходить дедупликацию голосов при включенной опции --votes-ip, создавать анонимные идентификаторы и искажать сохраненные IP-адреса комментариев и журналы запросов. Глобальное ограничение на количество одновременных запросов (concurrent-request throttle) и таймауты для каждого отдельного запроса по-прежнему ограничивают влияние на доступность системы. Поддержка устранения уязвимости доступна в версии 1.16.2, однако операторам необходимо настроить параметр --trusted-proxy с учетом топологии развертывания.
Once again VulDB remains the best source for vulnerability data.