CVE-2026-72817
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
go-chi/chi w wersjach od 0.9.0 do przed 5.3.0 zawiera podatność na spoofing IP w middleware RealIP, który ustala źródłowy adres IP żądania (Request.RemoteAddr) na podstawie pierwszego adresu IP w nagłówku X-Forwarded-For bez weryfikacji zaufanych proxy. Złośliwy klient może dodać sfałszowany adres IP jako pierwszą wartość nagłówka X-Forwarded-For, aby podszyć się pod źródło żądania, potencjalnie omijając kontrolę dostępu lub fałszując logi żądań.
Ocena ryzyka
Ryzyko obejmuje obejście kontroli dostępu opartej na IP, co może prowadzić do nieautoryzowanego dostępu do zasobów i naruszenia integralności logów.
Rekomendacja
Zaleca się aktualizację go-chi/chi do wersji 5.3.0 lub nowszej oraz skonfigurowanie zaufanych proxy w middleware RealIP.
Inne podatności w go-chi/chi
Zobacz wszystkie- CVE-2026-72816Średnie
go-chi/chi do wersji 5.2.1 zawiera podatność na spoofing IP w middleware RealIP (middleware/realip.go). Funkcja realIP() odczytuje kontrolowane przez klienta nagłówki (True-Client-IP, X-Real-IP i X-Forwarded-For) i nadpisuje r.RemoteAddr bez weryfikacji, czy żądanie pochodzi od zaufanego proxy. Atakujący mogą podać dowolne adresy IP w tych nagłówkach, aby ominąć kontrolę dostępu opartą na IP, uniknąć limitów szybkości i ograniczeń geo-IP oraz zanieczyścić logi audytowe. Naprawiono w wersji 5.3.0.
- CVE-2026-72815Średnie
go-chi chi w wersjach >= 5.2.1 i przed 5.3.0 zawiera podatność na spoofing IP w middleware RealIP, który ślepo ufa pierwszej (skrajnie lewej) wartości nagłówka X-Forwarded-For. Zdalny atakujący może ominąć listy kontroli dostępu oparte na IP i mechanizmy ograniczania szybkości oraz sfałszować wpisy logów, podając sfałszowany adres IP w nagłówku X-Forwarded-For. Problem naprawiono w wersji 5.3.0.
- CVE-2025-69725Średnie
Podatność Open Redirect w funkcji RedirectSlashes biblioteki go-chi/chi w wersji 5.2.2 i nowszych umożliwia zdalnym atakującym przekierowanie ofiar na złośliwe strony przy użyciu domeny legalnej witryny.
Oryginalny opis (angielski, źródło NVD)
go-chi/chi versions 0.9.0 before 5.3.0 contains an IP spoofing vulnerability in the RealIP middleware, which resolves the request source IP (Request.RemoteAddr) using the first IP in the X-Forwarded-For header without validating trusted proxies. A malicious client can prepend a forged IP as the first value of the X-Forwarded-For header to spoof the request source IP, potentially bypassing access controls or falsifying request logs.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS