CVE-2026-15144

11.2.0 versiyasından əvvəlki @fastify/rate-limit paketində rate-limit kovşları request.ip tərəfindən qaytarılan müştəri IP sətiri ilə olduğu kimi limitləyir. Tək bir IPv6 müştərisi geniş ünvan diapazonunu idarə edə bildiyi üçün (/64 şəbəkəsi 2^64 fərqli ünvan saxlayır) və eyni ünvanın çoxlu sayda düzgün mətn təmsilləri olduğu üçün, IPv6 dəstəkləyən müştəri ünvanları rotasiya etməklə və ya eyni ünvanı müxtəlif formalarda yenidən yazmaqla rate-limit sərhədini keçə bilər. trustProxy aktiv olduqda IPv6-nı mənzilə ötürən proksi arxasındakı IPv6 müştəriləri autentifikasiya, şifrənin sıfırlanması, OTP göndərilməsi və ya bahalı API çağırışları kimi son nöqtələri qorumaq üçün @fastify/rate-limit istifadə edən tətbiqlərdən yan keçə bilərlər. Problem @fastify/rate-limit 11.2.0 versiyasında həll edilmişdir; burada standart açar generatoru IPv6 ünvanlarını kanonik formaya gətirir, IPv4 xəritəli IPv6 ünvanlarını IPv4 formatına endirir və yeni ipv6Subnet seçimi vasitəsilə konfiqurasiya edilə bilən prefiks maskasını (standart /64) tətbiq edir.