CVE-2026-11815

W api-gateway w wersjach do 1.7.3 domyślny resolver klucza limitu szybkości, ClientIpKeyResolver, wyznacza klucz kubełka dla klienta na podstawie skrajnie lewego elementu nagłówka X-Forwarded-For. Element ten jest dostarczany przez klienta HTTP i nie jest weryfikowany względem listy zaufanych proxy. Pojedynczy atakujący może uzyskać nieograniczoną liczbę niezależnych kubełków limitu szybkości — po jednym na unikalną wartość nagłówka — i całkowicie obejść limit szybkości żądań na każdej trasie używającej domyślnej konfiguracji.

W api-gateway w wersjach do 1.7.3 domyślny resolver klucza limitu szybkości ClientIpKeyResolver wyznacza klucz kubełka na podstawie pierwszego elementu nagłówka X-Forwarded-For, który jest dostarczany przez klienta i nie jest weryfikowany względem listy zaufanych proxy. Atakujący może uzyskać nieograniczoną liczbę niezależnych kubełków limitu i całkowicie obejść ograniczenia szybkości żądań na każdej trasie korzystającej z domyślnej konfiguracji.

W wersjach `api-gateway` do `1.7.3` domyślny resolver klucza limitu szybkości, `ClientIpKeyResolver`, wyznacza klucz kubełka dla klienta na podstawie skrajnie lewego elementu nagłówka żądania `X-Forwarded-For`. Element ten jest dostarczany przez klienta HTTP i nie jest weryfikowany względem żadnej listy zaufanych proxy. Pojedynczy atakujący może więc uzyskać nieograniczoną liczbę niezależnych kubełków limitu szybkości — po jednym na każdą unikalną wartość nagłówka — i całkowicie obejść ograniczanie szybkości żądań na każdej trasie korzystającej z domyślnej konfiguracji.

Kontener api-gateway działający z uprawnieniami roota umożliwia atakującemu ucieczkę z kontenera i dostęp do systemu hosta w celu wykonania niezamierzonych działań.