CVE-2026-86041

Nome do Software Vulnerável e Versões Afetadas ezBookkeeping versões 0.10.0 até 1.5.9

Descrição A aplicação constrói seu roteador Gin usando gin.New() sem configurar SetTrustedProxies, o que faz com que o c.ClientIP() confie em valores X-Forwarded-For falsificados. Um invasor remoto não autenticado pode fornecer um endereço permitido para ignorar os filtros mcp allowed remote ips ou api token allowed remote ips. Embora um token MCP ou API válido ainda seja necessário para ações protegidas, o valor falsificado é registrado em Transaction.CreatedIp e no log de requisições, atribuindo incorretamente a atividade a um host confiável.

Recomendações Atualize para a versão 1.6.0.