PT-2026-65841
CVE-2026-15144
·
تاريخ النشر
2026-07-29
·
تاريخ التحديث
2026-07-29
الوصف من
CVSS 3.1
7.3
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @fastify/rate-limit الأقدم من 11.2.0
الوصف
يتم تعيين مفاتيح مجموعات تحديد معدل الاستخدام (rate-limit buckets) باستخدام سلسلة عنوان IP للعميل كما هي من
request.ip. يمكن للعميل الذي يدعم IPv6 تجاوز حدود التحكم في معدل الاستخدام عن طريق تبديل العناوين ضمن نطاق عناوين واسع (مثل /64) أو باستخدام تمثيلات نصية مختلفة لنفس العنوان. وهذا يسمح للمهاجمين بتجاوز إجراءات الحماية على نقاط النهاية الحساسة مثل المصادقة، وإعادة تعيين كلمة المرور، وتسليم كلمة المرور لمرة واحدة (OTP)، أو استدعاءات واجهة برمجة التطبيقات (API) المكلفة، خاصةً عندما يكون التطبيق خلف وكيل (proxy) يعرض IPv6 إلى المصدر ويكون trustProxy ممكّنًا.التوصيات
قم بالتحديث إلى الإصدار 11.2.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾