CVE-2026-90711

proxy-addr etibarlı reverse proksilər arxasındakı sorğunun müştəri ünvanını təyin edən bir Node.js moduludur və Express req.ip və req.ips funksiyalarını dəstəkləyir. 1.1.0-dan 2.0.7-yə qədər olan versiyalarda, düzgün ::ffff:10.0.0.0/104 əvəzinə IPv4 ölçülü prefikslə yazılmış IPv4-map edilmiş IPv6 notasiyasında olan etibar edilən alt şəbəkə (məsələn, ::ffff:10.0.0.0/8) xəta olmadan qəbul edilir, lakin bu, adlandırılan blok yerinə internetdəki bütün IPv4 ünvanlarına etibar edilməsinə səbəb olur. Socket peer 0-cı sıçrayışda (hop 0) etibarlı sayıldığı üçün, hər hansı autentifikasiya olunmamış müştəri ixtiyari X-Forwarded-For başlığı təqdim edə və tətbiqin oxuduğu ünvanı idarə edə bilər ki, bu da IP-əsaslı giriş kontrolunu, sürət məhdudiyyətini (rate limiting), geolokasiyanı və audit loqlarını sıradan çıxarır. Bu, 1.1.0 versiyasında yaranmış "fail-open" reqressiyasıdır. Problem proxy-addr 2.0.8 versiyasında düzəldilib və istifadəçilər 2.0.8 və ya daha yeni versiyaya yüksəltmə etməlidirlər. Müvəqqəti həll yolu kimi, hər hansı IPv4-map edilmiş IPv6 etibar alt şəbəkəsinin ən azı 97 prefiks uzunluğundan istifadə etdiyindən əmin olun və ya diapazonu sadə IPv4 notasiyası ilə ifadə edin.