一、 漏洞 CVE-2026-23848 基础信息
漏洞信息
# MyTube X-Forwarded-For 跳过限制漏洞
## 概述
MyTube 存在一个速率限制绕过漏洞，攻击者可通过伪造 `X-Forwarded-For` 请求头绕过基于 IP 的速率限制。
## 影响版本
1.7.71 之前的所有版本。
## 细节
攻击者可在未认证的情况下，通过手动设置 `X-Forwarded-For` 请求头伪造客户端 IP 地址，从而绕过 IP 级速率限制机制，对通用 API 接口和其他受速率限制的功能发起无限请求。
## 影响
允许攻击者发起拒绝服务（DoS）攻击或其他滥用行为，导致服务不可用或资源被过度消耗。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
MyTube has Rate Limiting Bypass via X-Forwarded-For Header Spoofing
来源：美国国家漏洞数据库 NVD
漏洞描述信息
MyTube is a self-hosted downloader and player for several video websites. Prior to version 1.7.71, a rate limiting bypass via `X-Forwarded-For` header spoofing allows unauthenticated attackers to bypass IP-based rate limiting on general API endpoints. Attackers can spoof client IPs by manipulating the `X-Forwarded-For` header, enabling unlimited requests to protected endpoints, including general API endpoints (enabling DoS) and other rate-limited functionality. Version 1.7.71 contains a patch for the issue.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L
来源：美国国家漏洞数据库 NVD
漏洞类别
在安全决策中依赖未经信任的输入
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-23848 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2026-23848 的情报信息
标题： Rate Limiting Bypass via X-Forwarded-For Header Spoofing · Advisory · franklioxygen/MyTube · GitHub -- 🔗来源链接
标签：x_refsource_CONFIRM
神龙速读：### 关键漏洞信息 - **漏洞标题**: Rate Limiting Bypass via X-Forwarded-For Header Spoofing - **分类**: Moderate - **发布者**: frankl10xygen - **GHSA ID**: GHSA-59gr-529g-x45h - **影响版本**: <=1.7.70 - **修复版本**: 1.7.71 #### 漏洞描述 - **总结**: 通过X-Forwarded-For头部欺骗绕过速率限制，使未授权攻击者能够在通用API端点上绕过基于IP的速率限制。攻击者可以通过操纵X-Forwarded-For头部伪造客户端IP，从而对受保护的端点进行无限请求，包括通用API端点（可能造成DoS）和其他速率限制功能。 - **详细信息**: 应用程序使用express-rate-limit进行速率限制，依赖Express的信任代理配置来提取客户端IP地址。generalLimiter没有实现自定义IP验证，使其容易受到头部欺骗攻击。 - **PoC**: 提供了具体步骤和curl命令示例，展示如何通过伪造X-Forwarded-For头部绕过速率限制。 - **影响**: 此漏洞允许攻击者在通用API端点上完全绕过速率限制，对受保护的路由进行无限请求，可能导致服务拒绝、滥用资源密集型操作和绕过预期的使用限制。漏洞影响通用API速率限制（15分钟内100次请求），使速率限制机制对大多数API路由无效，并可能开放所有用户和基础设施被滥用。 #### CVSS 3.1基本指标 - **严重性**: 6.5/10 - **攻击向量**: Network - **攻击复杂度**: Low - **所需权限**: None - **用户交互**: None - **范围**: Unchanged - **机密性**: Low - **完整性**: None - **可用性**: Low - **CVE ID**: CVE-2026-23848 - **弱点**: CWE-807 - **报告者**: p1ngul1n0
标题： refactor: Improve IP extraction and validation safety · franklioxygen/MyTube@bc05745 · GitHub -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：以下是关于这个网页截图中有关漏洞的关键信息，采用简洁的Markdown格式表示： ### 关键信息 #### 修复措施 - **IP提取和验证安全**：提交 `bc05745` 提升了IP提取和验证的安全性。 - 实现了 `getClientIp` 函数用于提取客户端IP。 - **安全改进**：防止 `X-Forwarded-For` 头部篡改攻击，通过自定义 `keyGenerator` 函数处理。 #### 漏洞修复 - **X-Forwarded-For 头部篡改风险**： - 原有代码配置为 `trustProxy: true` 有安全隐患，更改配置为 `false` 来手动处理IP提取。 - 提供了自定义 `keyGenerator`，识别和验证IP，防止信息篡改。 #### 安全相关代码 - **IP验证代码段**： - 使用正则表达式验证IPv4和IPv6地址格式。 - 包含私有IP检查函数 `isPrivateIp`，确保IP地址安全。 - **强化的HTTP请求验证**： - 针对API请求实施了速率限制，每15分钟限制每IP100个请求。 - 安全相关的认证端点实施更严格的速率限制，每15分钟5次。 #### 新增功能 - **IP地址验证函数**： - 导入了IP验证支持，可以检测IPv4或IPv6格式并进行检验。 - 引入 `isPrivateIp` 函数判断私有地址，提升网络安全性。 上述修改和添加有效提高了MyTube项目的网络安全防护能力，重点防止IP头部篡改和请求伪造漏洞。
- https://nvd.nist.gov/vuln/detail/CVE-2026-23848
四、漏洞 CVE-2026-23848 的评论
暂无评论