- Yama var
- Son 7 gün
- CWE-348
CVE-2026-114437
Chi ClientIPFromXFF Ara Katmanında X-Forwarded-For ile İstemci IP Sahteciliği
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- tenable
ÖzetTürkçe
Golang Chi web çerçevesinde ClientIPFromXFF ara katmanı, yapılandırılmış güvenilir CIDR aralığındaki her X-Forwarded-For girdisini atlamaktadır; ancak http.Request.RemoteAddr içindeki doğrudan TCP eş adresinin bu CIDR aralığına ait olup olmadığını hiçbir zaman doğrulamamaktadır. Bu nedenle Go sunucusuna doğrudan erişebilen bir istemci, güvenilir görünümlü bir proxy adresi ekleyerek middleware.GetClientIP tarafından döndürülen istemci IP adresini seçebilir.
Bu sorun chi sürümünün 5.4.0 öncesi sürümlerini etkilemektedir.
Kaynaktaki açıklama (İngilizce)
In the Golang Chi web framework, the ClientIPFromXFF middleware skips any X-Forwarded-For entry in a configured trusted CIDR but never verifies that the direct TCP peer in http.Request.RemoteAddr belongs to that CIDR. A client that can reach the Go server directly can therefore append a trusted-looking proxy address and choose the client IP returned by middleware.GetClientIP.
This issue affects chi before 5.4.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| go-chi chi | < 5.4.0 | 5.4.0 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.