CVE-2026-57942
Publiée le 2026-06-29 · Dernière modification le 2026-10-25
Les versions de LibreTranslate jusqu'à la 1.9.7 sont affectées par une faille permettant aux utilisateurs d'usurper leur adresse IP source via l'en-tête X-Forwarded-For. Un attaquant non authentifié disposant d'un accès réseau peut utiliser cette vulnérabilité pour contourner les limites de débit par IP et les bannissements pour saturation, lui permettant ainsi d'abuser de l'API sans restriction. Cette action est facile à exécuter car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
LibreTranslate through 1.9.7, fixed in commit 397fd22, contains an IP spoofing vulnerability in the get_remote_address() function that allows unauthenticated attackers to spoof client IP addresses by injecting arbitrary values into the X-Forwarded-For header without trusted proxy validation. Attackers can bypass per-IP rate limiting and flood bans by supplying forged addresses in the X-Forwarded-For header to enable unlimited API abuse.