Kagebunsher

**Nome do Software Vulnerável e Versões Afetadas** @fastify/proxy-addr versões 3.0.0 a 5.1.0 **Description** Este plugin, utilizado para determinar o endereço do cliente de uma requisição atrás de proxies reversos confiáveis, processa incorretamente sub-redes de confiança escritas em notação IPv6 mapeada para IPv4 quando um prefixo de tamanho IPv4 é utilizado (por exemplo, ::ffff:10.0.0.0/8 em vez de ::ffff:10.0.0.0/104). O software aceita essas entradas sem erro, mas acaba confiando em todos os endereços IPv4 da internet. Isso permite que um cliente não autenticado forneça um cabeçalho `X-Forwarded-For` arbitrário para controlar o endereço que a aplicação lê, ignorando controles de acesso baseados em IP, limitação de taxa, geolocalização e logs de auditoria. **Recommendations** Atualize para a versão 5.1.1 ou posterior. Garanta que qualquer sub-rede de confiança IPv6 mapeada para IPv4 utilize um comprimento de prefixo de pelo menos 97, ou expresse a faixa em notação IPv4 simples.

**Nome do Software Vulnerável e Versões Afetadas** proxy-addr versões 1.1.0 até 2.0.7 **Description** Este módulo Node.js, que determina o endereço do cliente de uma requisição atrás de proxies reversos confiáveis e suporta `req.ip` e `req.ips` do Express, contém uma falha onde sub-redes de confiança escritas em notação IPv6 mapeada para IPv4 com um prefixo de tamanho IPv4 (ex: `::ffff:10.0.0.0/8` em vez de `::ffff:10.0.0.0/104`) são aceitas sem erro. Isso faz com que o módulo confie em todos os endereços IPv4 da internet em vez do bloco especificado. Consequentemente, um cliente não autenticado pode fornecer um cabeçalho `X-Forwarded-For` arbitrário para controlar o endereço que a aplicação lê, ignorando o controle de acesso baseado em IP, a limitação de taxa (rate limiting), a geolocalização e o log de auditoria. **Recommendations** Atualizar para a versão 2.0.8 ou posterior. Garantir que qualquer sub-rede de confiança IPv6 mapeada para IPv4 utilize um comprimento de prefixo de pelo menos 97. Expressar a faixa de confiança em notação IPv4 simples.