CVE-2026-72815

CVE MEDIUM

go-chi/chi middleware.RealIP の X-Forwarded-For による IP スプーフィング

GHSA-3fxj-6jh8-hvhx

種別 CVE

影響を受けるパッケージ github.com/go-chi/chi/v5/middleware

影響を受けるバージョン

>= 5.2.1, < 5.3.0

修正済みバージョン

5.3.0

CVSS

6.9 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

CWE

CWE-290CWE-345

公開日 2026-08-14

概要

go-chi/chi の middleware.RealIP における IP スプーフィング脆弱性。RealIP は X-Forwarded-For ヘッダーの先頭（左端）の値を検証せずクライアント IP として扱い、http.Request.RemoteAddr を上書きする。攻撃者が X-Forwarded-For を制御できる構成では、任意の IP アドレスを送信元として偽装し、IP ベースのアクセス制御やレート制限の回避、監査ログの偽装につながる可能性がある。go-chi/chi 5.3.0 では RealIP が非推奨となり、信頼するプロキシ構成を明示する ClientIPFrom* middleware が追加された。

Advisoryを見る ↗ PoC ↗ cve.orgで見る ↗ NVD ↗