CVE-2026-69183

Monkeytype minimalist və fərdiləşdirilə bilən yazı testi proqramıdır. 26.26.0 və daha əvvəlki versiyalarda, backend/src/middlewares/rate-limit.ts faylındakı backend rate-limit açar generatoru, trust-proxy-dən törəmiş req.ip dəyərindən əvvəl klient tərəfindən idarə olunan cf-connecting-ip və x-forwarded-for başlıqlarından istifadə edir. Autentifikasiya olunmamış hücumçu hər sorğu üçün yeni bir səbət yaratmaq məqsədilə bu başlıqlardan birini dəyişərək rootRateLimiter, badAuthRateLimiter, getKey() və ictimai son nöqtələr tərəfindən istifadə edilən getKeyWithUid() ehtiyat variantını yan keçə bilər. Bu, təkrarlanan POST /users/forgotPasswordEmail və verificationEmail sorğularına yol açaraq qeydiyyatdan keçmiş istifadəçilərə qarşı mail bombing həyata keçirməyə, Firebase və ya SMTP kvotasının tükədilməsinə, brute-force mühafizəsindən yayınmağa və resursların tükənməsinə şərait yaradır. cf-connecting-ip başlığının istismarı yerləşdirmə topologiyasından asılıdır, lakin bu dəyərlər etibarlı proksi tərəfindən yenidən yazılmadıqda x-forwarded-for və birbaşa origin yolları təsirli qalır. Bu baxış tarixinə etibarən heç bir düzəliş edilmiş versiya mövcud deyil.