Vulnérabilité dans proxy-addr (CVE-2026-90711)
Résumé
Vulnérabilité dans proxy-addr (CVE-2026-90711). Des informations confidentielles peuvent être exposées. Exploitable via req.ip. Atténuation : mise à jour vers 2.0.8 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
proxy-addr determines which network hops are trusted proxies so that X-Forwarded-For can be believed. When an application configures a trust subnet as an IPv4-mapped IPv6 address with a short prefix, such as ::ffff:10.0.0.0/8 (the correct spelling is ::ffff:10.0.0.0/104), the subnet compiles with all-zero leading bits and matches every IPv4 address instead of the block it names. The same happens for any IPv6 trust subnet with zero leading bits, such as ::/1.
Every unauthenticated client is then trusted as a proxy at hop 0, so proxyaddr(req, trust), and therefore req.ip and req.ips in Express, returns whatever the client sends in X-Forwarded-For. This defeats IP-based access control, rate limiting, geolocation, and audit logging. The misconfiguration compiles without any error, and the same block written correctly behaves correctly, so the difference is not visible from the configuration.
Patches
Upgrade to proxy-addr 2.0.8. An IPv4 address now matches an IPv6 trust subnet only when that subnet is a genuine IPv4-mapped subnet whose prefix covers the mapped marker.
Workarounds
Write IPv4 trust subnets in plain IPv4 notation (for example 10.0.0.0/8). If IPv4-mapped IPv6 notation is required, use the full form so the prefix covers the mapped marker (for example ::ffff:10.0.0.0/104 for the 10.0.0.0/8 block).
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-90711 a été découverte dans proxy-addr.
Des attaquants peuvent cibler un point d'entrée spécifique comme req.ip à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 9.1/10.
Action : mettez à jour proxy-addr vers 2.0.8 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « proxy-addr CVE-2026-90711 » sur le site de l'éditeur.
CVE-2026-90711 (proxy-addr) — CWE-290 / CVSS v3 9.1
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : req.ip / req.ips
Correctif : 2.0.8 — appliquer immédiatement
Contournement : Write IPv4 trust subnets in plain IPv4 notation (for example 10.0.0.0/8).
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-290) affecte proxy-addr. Les attaquants atteignent le code vulnérable via req.ip sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de proxy-addr. Surface d'attaque : req.ip / req.ips.
Gravité : Critique (CVSS 9.1/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 2.0.8.
Contournement : Write IPv4 trust subnets in plain IPv4 notation (for example 10.0.0.0/8).
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'proxy-addr' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
proxy-addrを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Write IPv4 trust subnets in plain IPv4 notation (for example `10.0.0.0/8`).パッチが適用されるまでの応急処置として、Write IPv4 trust subnets in plain IPv4 notation (for example
10.0.0.0/8). を実施。回避策の副作用 (機能低下) を確認した上で。 -
3Apply patch patch
Upgrade proxy-addr to 2.0.8ステージング環境で 2.0.8 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-90711 node-proxy-addr
- Ubuntu UBUNTU-CVE-2026-90711 node-proxy-addr
Références
- advisory nvd.nist.gov
- package github.com
- web cna.openjsf.org
- web github.com
- web github.com
- web github.com
- web github.com