CVE-2026-90711
proxy-addr vulnerável a spoofing de IP via sub-rede de confiança IPv4-mapped IPv6
Traduzido automaticamente do inglês.
proxy-addr determina quais saltos de rede são proxies confiáveis para que X-Forwarded-For possa ser confiável. Quando uma aplicação configura uma sub-rede de confiança como um endereço IPv4-mapped IPv6 com um prefixo curto, como ::ffff:10.0.0.0/8 (a grafia correta é ::ffff:10.0.0.0/104), a sub-rede compila com bits iniciais todos zeros e corresponde a cada endereço IPv4 em vez do bloco que nomeia.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.1 (v3.1)
- EPSS
- 0,26% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- proxy-addr (npm) >= 1.1.0, < 2.0.8, corrigido em 2.0.8 · GHSA-jqcg-44mw-7w3h