CVE-2026-77463

ŚrednieCVSS 6.5

Opublikowano: 05/11/2026(UTC)Przetłumaczono: 06/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Remark42 w wersjach od 1.0.0 do 1.16.2 bezwarunkowo ufa nagłówkom True-Client-IP, X-Real-IP i X-Forwarded-For, nie weryfikując, czy bezpośredni peer jest zaufanym proxy, a middleware RealIP nadpisuje r.RemoteAddr przed uruchomieniem mechanizmów per-IP. W przypadku bezpośrednio dostępnego wdrożenia lub proxy przekazującego nagłówki kontrolowane przez atakującego, zdalny atakujący może rotować fałszywe nagłówki, aby uzyskać nowe pule tokenów dla endpointów z limitem, obejść deduplikację głosów przy --votes-ip, tworzyć anonimowe tożsamości oraz zatruwać zapisane adresy IP komentarzy i logi żądań.

Ocena ryzyka

Atakujący może obejść limity szybkości i mechanizmy deduplikacji głosów, tworzyć fałszywe tożsamości oraz zatruwać logi i dane IP, co utrudnia audyt i może prowadzić do nadużyć. Globalny limit współbieżnych żądań i limity czasu nadal ograniczają wpływ na dostępność.

Rekomendacja

Zaktualizuj Remark42 do wersji 1.16.2 i skonfiguruj opcję --trusted-proxy zgodnie z topologią wdrożenia. Upewnij się, że nagłówki przekazywania są akceptowane wyłącznie od zaufanych proxy.

Inne podatności w Remark42

CVE-2026-48788Wysokie
Remark42, silnik komentarzy do blogów, ma podatność XSS w wersjach od 1.6.0 do 1.15.0, która może być wykorzystana poprzez fałszowanie nagłówka Content-Type. Atakujący może wykorzystać tę lukę, aby wstrzyknąć złośliwy kod HTML/JavaScript do dokumentu w ramach Remark42.

Oryginalny opis (angielski, źródło NVD)

Remark42 is a self-hosted comment engine for blogs, articles, or any other place where readers can add comments. From 1.0.0 until 1.16.2, Remark42 globally trusts True-Client-IP, X-Real-IP, and X-Forwarded-For without verifying that the direct peer is a trusted proxy, and middleware.RealIP overwrites r.RemoteAddr before per-IP controls run. In a directly reachable deployment, or a proxy that forwards attacker-controlled headers, a remote attacker can rotate spoofed forwarding headers to obtain fresh token buckets for rate-limited endpoints, bypass vote de-duplication when --votes-ip is enabled, mint anonymous identities, and poison stored comment IPs and request logs. The global concurrent-request throttle and per-request timeouts still limit availability impact. Mitigation support is available in version 1.16.2, but operators must configure --trusted-proxy for the deployment topology.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS