CVE-2026-108736

Nome do Software Vulnerável e Versões Afetadas Speedtest Tracker versões anteriores a 1.15.1

Descrição Uma falha de bypass de lista de permissões de IP permite que atacantes remotos não autenticados evitem as listas ALLOWED IPS e Prometheus. Isso ocorre porque o arquivo bootstrap/app.php confia em todos os pares como proxies, permitindo que atacantes falsifiquem cabeçalhos X-Forwarded-For com um endereço permitido. Consequentemente, usuários não autorizados podem acessar o endpoint /prometheus para ler métricas e alcançar outros endpoints de web e API protegidos.

Recomendações Atualize o Speedtest Tracker para uma versão posterior a 1.15.0.