CVE-2026-15144
Açıklama
@fastify/rate-limit 11.2.0 öncesinde, hız sınırı kovalarını request.ip'den dönen istemci IP dizesinin birebir aynısıyla anahtarlar. Tek bir IPv6 istemcisi geniş bir adres aralığını kontrol edebildiğinden (bir /64, 2^64 farklı adres içerir) ve aynı adresin birden çok geçerli metinsel gösterimi bulunduğundan, IPv6 yetenekli bir istemci adresleri döndürerek veya aynı adresi farklı biçimlerde yeniden yazarak hız sınırı sınırını aşabilir. @fastify/rate-limit'i kimlik doğrulama, parola sıfırlama, OTP gönderimi veya maliyetli API çağrıları gibi uç noktaları korumak için kullanan uygulamalarda, trustProxy etkinleştirildiğinde IPv6'yı kaynağa ileten bir proxy arkasındaki IPv6 istemcileri bu korumayı atlatabilir. Sorun, varsayılan anahtar üreticisinin IPv6 adreslerini kurallı biçimlerine normalleştirdiği, IPv4 eşlemeli IPv6'yı IPv4'e indirgediği ve yeni ipv6Subnet seçeneği aracılığıyla yapılandırılabilir bir önek maskesi (varsayılan /64) uyguladığı @fastify/rate-limit 11.2.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- fastify fastify\/rate-limit11.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fastify fastify\/rate-limit | v < 11.2.0 | 11.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.