CVE-2025-59152

Litestar, bir Asenkron Sunucu Ağ Geçidi Arayüzü (ASGI) çerçevesidir. 2.17.0 sürümünde, X-Forwarded-For başlığı manipüle edilerek hız sınırları tamamen atlatılabilir. Bu durum, IP tabanlı hız sınırlamayı kararlı saldırganlara karşı etkisiz hale getirir. Litestar'ın RateLimitMiddleware bileşeni, hız sınırlama için önbellek anahtarları oluşturmak üzere `cache_key_from_request()` işlevini kullanır. Bir X-Forwarded-For başlığı mevcut olduğunda, ara katman yazılımı bu başlığa koşulsuz olarak güvenir ve değerini istemci tanımlayıcısının bir parçası olarak kullanır. İstemciler rastgele X-Forwarded-For değerleri ayarlayabildiğinden, her farklı sahte IP ayrı bir hız sınırı kovası oluşturur. Bir saldırgan, herhangi bir tek kovanın sınırına ulaşmamak için farklı başlık değerleri arasında döngü yapabilir. Bu durum, RateLimitMiddleware bileşenini varsayılan ayarlarla kullanan tüm Litestar uygulamalarını etkiler; bu da büyük olasılıkla hız sınırlama uygulayan çoğu uygulamayı içerir. 2.18.0 sürümü, güvenlik açığı için bir yama içerir.