CVE-2026-126083

Nome do Software Vulnerável e Versões Afetadas Action Pack versões 8.1 até 8.1.4

Description O ActionDispatch::RemoteIp deriva request.remote ip de Rack::Request#forwarded for, que no Rack 3 prioriza o cabeçalho Forwarded da RFC 7239 em relação ao X-Forwarded-For. Se um proxy reverso anexa o endereço do cliente ao X-Forwarded-For, mas permite que um cabeçalho Forwarded fornecido pelo cliente passe inalterado, o request.remote ip pode retornar um endereço escolhido pelo cliente. Isso acontece porque a verificação de spoofing de IP compara apenas o Client-Ip com os endereços encaminhados. Um invasor não autenticado pode, portanto, falsificar o request.remote ip, possivelmente ignorando controles de acesso baseados em IP, evitando limites de taxa vinculados ao endereço do cliente (incluindo o by: padrão de rate limit) e falsificando o endereço do cliente nos logs.

Recommendations Atualize o Action Pack para a versão 8.1.4.1. Configure os proxies reversos para remover ou sobrescrever qualquer cabeçalho Forwarded fornecido pelo cliente. Como alternativa para aplicações cujos proxies definem X-Forwarded-For, configure Rack::Request.forwarded priority = [:x forwarded] em um inicializador para que o Rack ignore o cabeçalho Forwarded.