CVE-2026-114437

Średnie

Opublikowano: —Przetłumaczono: 24/10/2026(UTC)NVD NIST

Streszczenie

W frameworku Golang Chi middleware ClientIPFromXFF pomija wpisy X-Forwarded-For należące do skonfigurowanego zaufanego CIDR, ale nigdy nie weryfikuje, czy bezpośredni peer TCP w http.Request.RemoteAddr należy do tego CIDR. Klient mogący połączyć się bezpośrednio z serwerem Go może więc dodać wpis wyglądający na zaufany.

Ocena ryzyka

Atakujący może podszyć się pod zaufany adres IP, co może prowadzić do obejścia mechanizmów kontroli dostępu opartych na adresie IP lub do zatrucia logów i systemów analitycznych.

Rekomendacja

Zaktualizuj framework Chi do wersji zawierającej poprawkę lub wdróż własną weryfikację, że http.Request.RemoteAddr należy do zaufanego CIDR przed zaufaniem nagłówkowi X-Forwarded-For.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

In the Golang Chi web framework, the ClientIPFromXFF middleware skips any X-Forwarded-For entry in a configured trusted CIDR but never verifies that the direct TCP peer in http.Request.RemoteAddr belongs to that CIDR. A client that can reach the Go server directly can therefore append a trusted-look

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS