CWE-348

ProxySQL w wersjach 2.0.0–3.0.8 nieprawidłowo przetwarza ramki PROXY Protocol v1 z tokenem UNKNOWN, co pozwala atakującemu sfałszować źródłowy adres IP i ominąć reguły routingu oraz listy kontroli dostępu (ACL). Jest to krytyczna podatność, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika, a jej wykorzystanie jest możliwe zdalnie.

Podatność w narzędziu Cleanuparr pozwala nieuwierzytelnionemu atakującemu zdalnie ominąć mechanizm uwierzytelnienia oparty na zaufanej sieci i uzyskać dostęp administracyjny. Wynika to z błędnego parsowania nagłówka X-Forwarded-For, który może być w pełni kontrolowany przez atakującego.

W Traefik, popularnym reverse proxy dla środowisk Cloud Native, wykryto podatność umożliwiającą atakującemu zdalne usunięcie lub modyfikację krytycznych nagłówków HTTP (np. X-Forwarded-Host, X-Forwarded-Port) dodawanych przez proxy przed przekazaniem żądania do aplikacji. Jest to groźne, ponieważ aplikacje backendowe ufają wartościom tych nagłówków, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Apache HTTP Server w wersji 2.4.53 i wcześniejszych może nie przekazywać nagłówków X-Forwarded-* do serwera źródłowego z powodu mechanizmu hop-by-hop w nagłówku Connection po stronie klienta. Podatność umożliwia atakującemu ominięcie uwierzytelnienia opartego na adresie IP na serwerze lub aplikacji backendowej.

Hermes WebUI przed wersją 0.51.307 zawiera podatność pozwalającą nieuwierzytelnionemu atakującemu zdalnie ominąć ograniczenia dostępu oparte na lokalnym adresie IP. Błąd jest krytyczny, ponieważ umożliwia przejęcie konfiguracji LLM, kluczy API oraz uzyskanie trwałego dostępu do systemu.

W oficjalnym obrazie Docker platformy Termix (wersje 1.5.0 i wcześniejsze) błędna konfiguracja reverse proxy Nginx powoduje, że mechanizm weryfikacji lokalności adresu IP zawsze zwraca wartość True, umożliwiając nieautoryzowany dostęp do wrażliwych danych. Skutkuje to pełną ekspozycją przechowywanych danych uwierzytelniających SSH (adresów, nazw użytkowników i haseł) bez jakiegokolwiek logowania.

Podatność w routerze Fabio pozwala nieuwierzytelnionym klientom HTTP na usuwanie lub manipulowanie nagłówkami X-Forwarded (np. X-Forwarded-Host, X-Forwarded-Port), które aplikacje backendowe traktują jako zaufane. Stanowi to poważne zagrożenie dla integralności i bezpieczeństwa aplikacji korzystających z tych nagłówków do podejmowania decyzji autoryzacyjnych lub routingowych.

ADSys w wersjach do v0.16.2 pobiera certyfikat CA z serwera Active Directory Certificate Services przez niezaszyfrowane połączenie HTTP, co umożliwia atakującemu przeprowadzenie ataku Man-in-the-Middle. Skutkiem jest zatrucie systemowego magazynu zaufanych certyfikatów, które pozwala na trwałe podsłuchiwanie i deszyfrowanie ruchu TLS na zaatakowanej maszynie.

Eclipse Kura versions prior to 5.6.2 trust the client-supplied X-Forwarded-For HTTP header as the authoritative source of the client IP address in audit log entries. The org.eclipse.kura.web2 (Web Console) and org.eclipse.kura.rest.provider (REST API) components use this header as the primary IP source when initializing audit context, and org.eclipse.kura.jetty.customizer unconditionally installs Jetty's ForwardedRequestCustomizer on all HTTP/HTTPS connectors, causing HttpServletRequest.getRemoteAddr() to reflect the attacker-controlled header value. An unauthenticated remote attacker can exploit this vulnerability to bypass IP-based brute-force protections — such as fail2ban — by spoofing the logged IP address to a non-routable value, allowing a brute-force attack to proceed undetected, or to cause a denial of service against a third party by injecting a victim's IP address and triggering a ban on that address.

Unitronics Unistream Unilogic – Versions prior to 1.35.227 - CWE-348: Use of Less Trusted Source may allow RCE

FileCodeBox przed wersją 2.4 zawiera podatność umożliwiającą ominięcie mechanizmu ograniczania liczby żądań (rate-limit) poprzez manipulację nagłówkami HTTP. Nieuprawniony atakujący może w efekcie enumerować kody udostępniania i pobierać pliki innych użytkowników bez jakiejkolwiek autoryzacji.

HestiaCP versions 1.2.0 through 1.9.4 contain an IP spoofing vulnerability that allows unauthenticated remote attackers to bypass authentication security controls by supplying an arbitrary IP address in the CF-Connecting-IP HTTP header without verifying the request originated from Cloudflare's network. Attackers can exploit this to circumvent fail2ban brute-force protection, bypass per-user IP allowlists, and poison authentication audit logs by spoofing trusted IP addresses on each request.

Bulwark Webmail is a self-hosted webmail client for Stalwart Mail Server. Prior to 1.4.11, the getClientIP() function in lib/admin/session.ts trusted the first (leftmost) entry of the X-Forwarded-For header, which is fully controlled by the client. An attacker could forge their source IP address to bypass IP-based rate limiting (enabling brute-force attacks against the admin login) or forge audit log entries (making malicious activity appear to originate from arbitrary IP addresses). This vulnerability is fixed in 1.4.11.

Plugin Caddy Defender przed wersją 0.10.1 nieprawidłowo weryfikował adres IP klienta, używając adresu bezpośredniego połączenia zamiast rzeczywistego adresu źródłowego. W efekcie klienci z zablokowanych zakresów IP mogli ominąć blokadę, gdy ruch przechodził przez zaufany proxy, CDN lub load balancer.

Glance w wersji do 0.8.5 zawiera podatność umożliwiającą ominięcie mechanizmu blokady konta po nieudanych próbach logowania. Atakujący może podszywać się pod dowolne adresy IP, co pozwala na nieograniczone zgadywanie haseł bez ryzyka blokady.

9Router przed wersją 0.5.2 nieprawidłowo weryfikuje lokalność żądań do proxy LLM, opierając się na kontrolowanym przez klienta nagłówku HTTP Host. Nieuwierzytelniony zdalny atakujący może wysłać nagłówek Host: localhost, omijając wymaganie klucza API i uzyskując dostęp do funkcji zastrzeżonych dla żądań lokalnych.

Meshtastic is an open source mesh networking solution. In the current Meshtastic architecture, a Node is identified by their NodeID, generated from the MAC address, rather than their public key. This aspect downgrades the security, specifically by abusing the HAM mode which doesn't use encryption. An attacker can, as such, forge a NodeInfo on behalf of a victim node advertising that the HAM mode is enabled. This, in turn, will allow the other nodes on the mesh to accept the new information and overwriting the NodeDB. The other nodes will then only be able to send direct messages to the victim by using the shared channel key instead of the PKC. Additionally, because HAM mode by design doesn't provide any confidentiality or authentication of information, the attacker could potentially also be able to change the Node details, like the full name, short code, etc. To keep the attack persistent, it is enough to regularly resend the forged NodeInfo, in particular right after the victim sends their own. A patch is available in version 2.7.6.834c3c5.

OpenRefine is a free, open source tool for working with messy data. Prior to version 3.8.3, the `export-rows` command can be used in such a way that it reflects part of the request verbatim, with a Content-Type header also taken from the request. An attacker could lead a user to a malicious page that submits a form POST that contains embedded JavaScript code. This code would then be included in the response, along with an attacker-controlled `Content-Type` header, and so potentially executed in the victim's browser as if it was part of OpenRefine. The attacker-provided code can do anything the user can do, including deleting projects, retrieving database passwords, or executing arbitrary Jython or Closure expressions, if those extensions are also present. The attacker must know a valid project ID of a project that contains at least one row. Version 3.8.3 fixes the issue.

Nimble is a package manager for the Nim programming language. In Nim release versions before versions 1.2.10 and 1.4.4, "nimble refresh" fetches a list of Nimble packages over HTTPS without full verification of the SSL/TLS certificate due to the default setting of httpClient. An attacker able to perform MitM can deliver a modified package list containing malicious software packages. If the packages are installed and used the attack escalates to untrusted code execution.

Raytha CMS allows an attacker to spoof `X-Forwarded-Host` or `Host` headers to attacker controlled domain. The attacker (who knows the victim's email address) can force the server to send an email with password reset link pointing to the domain from spoofed header. When victim clicks the link, browser sends request to the attacker’s domain with the token in the path allowing the attacker to capture the token. This allows the attacker to reset victim's password and take over the victim's account. This issue was fixed in version 1.4.6.