CVE-2026-100390

WysokieCVSS 7.4

Opublikowano: 25/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Zoraxy w wersjach od 3.2.3 do 3.3.4 nieprawidłowo parsuje adresy IPv6 w polu RemoteAddr podczas ustawiania nagłówków przekazywania. Nieuwierzytelniony atakujący łączący się przez IPv6 może podać dowolne wartości X-Forwarded-For, aby podszyć się pod źródłowy adres IP i obejść kontrolę dostępu opartą na adresach IP dostawcy autoryzacji.

Ocena ryzyka

Atakujący może obejść mechanizmy autoryzacji oparte na adresach IP, uzyskując nieautoryzowany dostęp do chronionych zasobów.

Rekomendacja

Zaktualizuj Zoraxy do wersji nowszej niż 3.3.4, jeśli jest dostępna, lub popraw parsowanie adresów IPv6 w polu RemoteAddr, aby uniemożliwić fałszowanie nagłówków X-Forwarded-For.

Inne podatności w Zoraxy

CVE-2026-108899Wysokie
W tobychui zoraxy do wersji 3.3.4 znaleziono wadę. Dotyczy ona funkcji handleBasicAuth w pliku mod/dynamicproxy/authProviders.go komponentu Path Exception Matcher. Manipulacja argumentem PathPrefix powoduje nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Aktualizacja do wersji 3.3.5-rc1 naprawi ten problem. Nazwa poprawki: 37cd0f27b17cd15cfa4af409bfec943146f5fdfe. Zalecane jest zaktualizowanie komponentu.

Oryginalny opis (angielski, źródło NVD)

Zoraxy versions 3.2.3 through 3.3.4 fail to properly parse IPv6 addresses in the RemoteAddr field when setting forwarded headers. Unauthenticated attackers connecting over IPv6 can supply arbitrary X-Forwarded-For values to spoof their source IP and bypass authorization provider IP-based access controls.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS