CVE-2026-119711 Omisión de límite de tasa en PipesHub mediante X-Forwarded-For falsificado
PipesHub antes de 0.10.0 contiene una vulnerabilidad de omisión de límite de tasa en getClientIp() que permite a atacantes no autenticados evadir la limitación por IP falsificando los encabezados X-Forwarded-For o X-Real-IP. Rotando los valores del encabezado se obtienen nuevos cupos de límite en los endpoints de autenticación, lo que habilita password spraying y el envío masivo de correos de OTP o de restablecimiento de contraseña.
CVSS 3.1
- CVSS 4.06.9 · media
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 12
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
pipeshub-ai
hasta antes de 0.10.0
Qué hacer
- Verificá si usás pipeshub-ai y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
PipesHub before 0.10.0 contains a rate limit bypass vulnerability in getClientIp() that allows unauthenticated attackers to evade per-IP throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can rotate header values to obtain fresh rate-limit buckets on authentication endpoints, enabling password spraying and OTP or password-reset email flooding.
Referencias (6)
- github.com/pipeshub-ai/pipeshub-ai/security/advisories/GHSA-78gw-g2h7-xvjj
- github.com/pipeshub-ai/pipeshub-ai/commit/84614464bb120e9f8e8c85420001260e709d99bb
- github.com/pipeshub-ai/pipeshub-ai/blob/v0.9.1/backend/nodejs/apps/src/libs/middlewares/r…
- github.com/pipeshub-ai/pipeshub-ai/releases/tag/v0.10.0
- github.com/pipeshub-ai/pipeshub-ai
- www.vulncheck.com/advisories/pipeshub-before-0.10.0-rate-limit-bypass-via-spoofed-x-forwa…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.