Remark42 : contournement des limites par IP via des en-têtes transférés usurpés

Veille sécuritéBackend & données

P4Moyenne

Remark42 appliquait globalement un middleware qui faisait confiance aux en-têtes d’adresse IP transférée, même lorsque la requête ne provenait pas d’un proxy de confiance. Un attaquant pouvait ainsi usurper son IP pour contourner les limites par IP et d’autres contrôles dépendant de cette adresse ; la correction est disponible en v1.16.2, mais il faut aussi configurer `–trusted-proxy` ou `TRUSTED_PROXY`.

IdentifiantCVE-2026-77463

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.16.2

Source : GHSA-56×6-q882-mf27 — Remark42: Rate limit bypass via unconditional trust of X-Forwarded-For/X-Real-IP headers in direct-internet deployment

Analyse technique

Le middleware RealIP pouvait remplacer l’adresse distante avec `True-Client-IP`, `X-Real-IP` ou `X-Forwarded-For` sans authentifier le proxy. La configuration du proxy de confiance est nécessaire même après mise à niveau.

Impact, versions et correctif

Événement datéAvis publié le 2026-11-09 à 21:18:29Z, soit dans la période demandée (qui se termine le 2026-11-09 à 22:00Z).

ImpactContournement des limites de débit par IP et falsification de contrôles et journaux reposant sur l’adresse IP client.

Versions affectées>= 1.0.0, < 1.16.2; également >= 1.0.0, <= 1.2.0 pour le paquet github.com/umputun/remark42 (version corrigée non précisée pour ce paquet)

Version corrigée1.16.2

ContournementConfigurer un proxy de confiance ; la prise en charge de `–trusted-proxy` / `TRUSTED_PROXY` est disponible à partir de v1.16.2.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

EPSS0,22% · percentile 12,5%

Publication2026-11-09T21:18:29Z

Mise à jour2026-11-09T21:18:30Z

Action recommandée

Mettre à niveau vers v1.16.2 ou ultérieure et configurer explicitement les proxys de confiance.

Sources

GHSA-56×6-q882-mf27 — Remark42: Rate limit bypass via unconditional trust of X-Forwarded-For/X-Real-IP headers in direct-internet deployment

Priorisation DFS : P4 · 1 source(s).