hacklab/resetea.net
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions
Web de resetea.net
14 commits 1 branch 0 tags 321 KiB
Find a file
Exact
hacklab 93d75ddafe fix(security): bypass de rate limiting via X-Forwarded-For spoofing — VULN: Rate limit evasion 
Vulnerabilidad corregida:
- Con 'trust proxy 1', Express usaba X-Forwarded-For como req.ip.
  Un atacante podia cambiar ese header en cada peticion para obtener
  un bucket de rate limit nuevo, bypasseando el limite de 8 busquedas/min.
  Demostrado: 12 requests exitosas cuando el limite era 8.

Mitigacion:
- keyGenerator en todos los rate limiters usa X-Real-IP (establecido por
  Nginx con $remote_addr, no manipulable por el cliente).
- trust proxy cambiado de '1' a 'loopback'.
- Verificado: con X-Real-IP fijo y XFF variando, rate limit actua en req 9.

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
2026-04-07 17:29:50 +02:00
api fix(security): bypass de rate limiting via X-Forwarded-For spoofing — VULN: Rate limit evasion 2026-04-07 17:29:50 +02:00
infra fix(security): añadir security headers HTTP en Nginx — VULN: Clickjacking + MIME sniffing 2026-04-07 17:23:03 +02:00
public fix(security): CRLF injection en campos opcionales + XSS en rtbfUrl — VULN: Header injection 2026-04-07 17:25:12 +02:00
.gitignore Add full project structure: backend API + frontend 2026-04-07 12:09:54 +02:00
context_puppeteer.txt Add full project structure: backend API + frontend 2026-04-07 12:09:54 +02:00