CVE-2026-77463
Açıklama
Remark42; bloglar, makaleler veya okuyucuların yorum ekleyebileceği diğer tüm yerler için kendi sunucunuzda barındırabileceğiniz bir yorum motorudur. 1.0.0 ile 1.16.2 sürümleri arasında Remark42, doğrudan eşin güvenilir bir proxy olduğunu doğrulamadan True-Client-IP, X-Real-IP ve X-Forwarded-For başlıklarına küresel olarak güvenir ve middleware.RealIP, IP başına kontroller çalışmadan önce r.RemoteAddr değerinin üzerine yazar. Doğrudan erişilebilir bir dağıtımda veya saldırgan tarafından kontrol edilen başlıkları ileten bir proxy durumunda, uzak bir saldırgan sahte yönlendirme başlıklarını değiştirerek hız sınırlamalı uç noktalar için yeni token kovaları elde edebilir, --votes-ip etkinleştirildiğinde oy tekilleştirmeyi atlatabilir, anonim kimlikler oluşturabilir ve saklanan yorum IP'lerini ve istek günlüklerini zehirleyebilir. Küresel eşzamanlı istek kısıtlaması ve istek başına zaman aşımı süreleri, kullanılabilirlik üzerindeki etkiyi hala sınırlandırmaktadır. Azaltım desteği 1.16.2 sürümünde mevcuttur ancak operatörlerin dağıtım topolojisi için --trusted-proxy ayarını yapılandırması gerekir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| umputun remark42 | >= 1.0.0, < 1.16.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.