CVE-2026-77463
Remark42: Rate limit bypass via unconditional trust of X-Forwarded-For/X-Real-IP headers in direct-internet deployment
CVSS 3.1Medium
6.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Механизмы защиты добавлены в версии 1.16.2, однако администраторам требуется настроить параметр --trusted-proxy с учетом топологии развертывания.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Remark42 безусловно доверяет заголовкам пересылки IP-адресов, позволяя обходить ограничения частоты запросов при прямом подключении к сети.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
С версии 1.0.0 по 1.16.2 движок доверяет заголовкам True-Client-IP, X-Real-IP и X-Forwarded-For без проверки доверенного прокси, а middleware.RealIP перезаписывает r.RemoteAddr. Удаленный атакующий может подменять заголовки для получения новых лимитов запросов, обхода дедупликации голосов при флаге --votes-ip, создания анонимных идентификаторов и подмены IP в комментариях и журналах.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Обход ограничений частоты запросов, обход проверки повторного голосования (--votes-ip), генерация анонимных профилей и искажение сохраненных IP-адресов в комментариях и логах.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/umputun/remark42/security/advisories/GHSA-56x6-q882-mf27
- github.comhttps://github.com/umputun/remark42/pull/2116
- github.comhttps://github.com/umputun/remark42/pull/2118
- github.comhttps://github.com/umputun/remark42/commit/b1502801facd7782a1c70fd51f8ad5c2eb650d39
- github.comhttps://github.com/umputun/remark42/commit/e62b3c830d81659cf5d2687b0c8261da7d42fdab
- github.comhttps://github.com/umputun/remark42/releases/tag/backend/v1.16.2
- remark42.comhttps://remark42.com/docs/configuration/parameters/#trusted-proxies-and-client-ip
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-77463: Remark42: Rate limit bypass via unconditional trust of X-Forwarded-For/X-Real-IP headers in direct-internet deployment. URL: https://cve.futuretools.ru/cve/CVE-2026-77463
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_77463,
title = {{CVE-2026-77463: Remark42: Rate limit bypass via unconditional trust of X-Forwarded-For/X-Real-IP headers in direct-internet deployment}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-77463}},
note = {Оперативный инженерный анализ киберугроз}
}