Speedtest Tracker IP Whitelist Bypass via X-Forwarded-For Spoofing (CVE-2026-108736)

CVE-2026-108736: Speedtest Tracker の IP ホワイトリストを X-Forwarded-For 偽造で回避 脆弱性情報 Speedtest Tracker は 内で を登録しており、これはフレームワークに対してすべての接続元アドレスをリバースプロキシとして信頼し、発信元が提供する ヘッダー内のクライアント IP を読み取るよう指示しています。アプリケーションは 2 つの IP ホワイトリストに基づくアクセス制御を送信しており、これらはどちらも に依存しています。グローバルな は と のルートグループに事前追加され、 環境変数を強制適用しています。 は CIDR 対応の一致処理を用いて メトリクスエンドポイントを保護しています。 すべてのプロキシが信頼されるため、 は認証されていない発信者が ヘッダーに設定した最も左側のアドレスを返します。攻撃者が を送信すると、そのアドレスは両方のミドルウェアによってアクセス許可されます。ワイルドカードによる信頼は製品ソースにハードコードされており、管理者が設定可能なものではなく、ホワイトリストは製品機能として「許可されたアドレスからのものを除き、アプリケーションへのリクエストをブロックする」と文書化されています。最も深刻なケースは であり、そのアクセス制御は IP ホワイトリストであるため、回避は未承認のメトリクス開示を意味します。グローバルな のゲート全体がアプリケーション内で同様に突破され、管理者ログインインターフェースと非推奨の未認証 エンドポイントが再び露出します。 影響範囲 影響を受けるバージョン: v1.15.0 (コミット 60231a) および現在の main (コミット 17fe42be) フレームワークの固定: composer.lock: laravel/framework v13.26.0, symfony/http-foundation v8.0.15 信頼されたプロキシ: は Laravel 11 の Shift コミット ce21ae2 以来存在します クラス: CWE-290 偽造による認証回避, CWE-348 信頼できない入力の使用, CWE-807 信頼できない入力に対するセキュリティ判断 ステータス: 協調開示進行中。CVE は未割り当て。 修正案 信頼されたプロキシ: 製品はすべてのプロキシを無条件に信頼し、フレームワークは攻撃者に制御されたヘッダーからクライアント IP を導出し、両方のホワイトリストミドルウェアは攻撃者に制御された IP に依存しています。 フレームワークによるクライアント IP の導出: フレームワークは ヘッダーからクライアント IP を導出しますが、攻撃者は最も左側の トークンを制御できるため、 を制御できます。 ホワイトリストミドルウェア: グローバルゲートは を読み取り リストと比較し、Prometheus ゲートは同じ を読み取り と一致させます。 POC コード

目標達成すべての支援者に感謝 — 100%達成しました！

Speedtest Tracker IP Whitelist Bypass via X-Forwarded-For Spoofing (CVE-2026-108736)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Speedtest Tracker IP Whitelist Bypass via X-Forwarded-For Spoofing (CVE-2026-108736)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！