93d75ddafe
Vulnerabilidad corregida: - Con 'trust proxy 1', Express usaba X-Forwarded-For como req.ip. Un atacante podia cambiar ese header en cada peticion para obtener un bucket de rate limit nuevo, bypasseando el limite de 8 busquedas/min. Demostrado: 12 requests exitosas cuando el limite era 8. Mitigacion: - keyGenerator en todos los rate limiters usa X-Real-IP (establecido por Nginx con $remote_addr, no manipulable por el cliente). - trust proxy cambiado de '1' a 'loopback'. - Verificado: con X-Real-IP fijo y XFF variando, rate limit actua en req 9. Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com> |
||
|---|---|---|
| .. | ||
| routes | ||
| services | ||
| .env.example | ||
| app.js | ||
| package-lock.json | ||
| package.json | ||