chi 中间件 ClientIPFromXFF 可伪造客户端 IP

GitHub 安全公告库（GHSA）披露了 Go 路由库 chi 的中间件 ClientIPFromXFF 存在客户端 IP 伪造漏洞（GHSA-j6qf-3m9c-vwj3），并公开了 PoC。该中间件解析 X-Forwarded-For 时只跳过匹配可信 CIDR 的条目，却不校验 http.Request.RemoteAddr 中的直连对端是否属于该 CIDR，因此能直连源站的客户端可追加一个可信代理地址，指定 GetClientIP 返回的客户端 IP。 公告称，利用该漏洞只需一次无需认证、无需用户交互的远程 HTTP 请求。触发条件是应用使用 ClientIPFromXFF，且源站可被配置可信代理 CIDR 之外的匿名客户端直连。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。