CVE-2026-90711

proxy-addr, güvenilir ters vekil sunucuların arkasındaki bir isteğin istemci adresini belirleyen bir Node.js modülüdür ve Express req.ip ile req.ips özelliklerini destekler. 1.1.0 ile 2.0.7 arasındaki sürümlerde, doğru olan ::ffff:10.0.0.0/104 yerine ::ffff:10.0.0.0/8 gibi IPv4 boyutunda bir önekle IPv4-eşlenmiş IPv6 notasyonunda yazılmış bir güvenilir alt ağ, hata vermeden kabul edilir ancak belirtilen blok yerine internetteki tüm IPv4 adreslerine güvenir. Soket eşinin ardından 0. sıçramada güvenilir hale gelmesi nedeniyle, kimliği doğrulanmamış herhangi bir istemci rastgele bir X-Forwarded-For başlığı sağlayabilir ve uygulamanın okuduğu adresi kontrol edebilir; bu durum IP tabanlı erişim kontrolünü, hız sınırlamayı, coğrafi konum belirlemeyi ve denetim günlüğünü etkisiz kılar. Bu, sürüm 1.1.0 ile gelen bir fail-open regresyonudur. Sorun proxy-addr 2.0.8 sürümünde düzeltilmiştir ve kullanıcıların 2.0.8 veya daha yeni bir sürüme yükseltmeleri önerilir. Geçici bir çözüm olarak, IPv4-eşlenmiş IPv6 güvenilir alt ağlarının en az 97 uzunluğunda bir önek kullandığından emin olun veya aralığı düz IPv4 notasyonuyla ifade edin.