PT-2026-144759
CVE-2026-126083
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Action Pack الإصدارات من 8.1 إلى 8.1.4
Description
يقوم ActionDispatch::RemoteIp باشتقاق
request.remote ip من Rack::Request#forwarded for والذي يعطي الأولوية لترويسة Forwarded الخاصة بـ RFC 7239 على ترويسة X-Forwarded-For في إصدار Rack 3. عندما يقوم وكيل عكسي (reverse proxy) بإضافة عنوان العميل إلى X-Forwarded-For ولكنه يمرر ترويسة Forwarded المقدمة من العميل دون تغيير، فإن request.remote ip قد يعيد عنواناً يختاره العميل. يحدث هذا لأن فحص انتحال عنوان IP يقارن فقط Client-Ip مع العناوين الممررة. يمكن لمهاجم غير مصرح له بذلك انتحال request.remote ip مما قد يؤدي إلى تجاوز ضوابط الوصول القائمة على عنوان IP، وتخطي حدود معدل الطلبات المرتبطة بعنوان العميل (بما في ذلك by: الافتراضي لـ rate limit) وتزوير عنوان العميل في السجلات.Recommendations
تحديث Action Pack إلى الإصدار 8.1.4.1.
تكوين الوكلاء العكسيين لإزالة أو استبدال أي ترويسة
Forwarded مقدمة من العميل.
كحل مؤقت للتطبيقات التي تستخدم وكلاء يحددون X-Forwarded-For تعيين Rack::Request.forwarded priority = [:x forwarded] في ملف التهيئة (initializer) لجعل Rack يتجاهل ترويسة Forwarded. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾