CVE-2026-72815

总结

go-chi chi 版本 >= 5.2.1 且低于 5.3.0 存在 RealIP 中间件中的 IP 欺骗漏洞，该中间件盲目信任 X-Forwarded-For HTTP 头部的第一个（最左侧）值。远程攻击者可以通过在 X-Forwarded-For 头部中提供伪造的 IP 地址，绕过基于 IP 的访问控制列表和速率限制机制，并伪造日志条目。该问题已在 5.3.0 版本中修复。

• CVE-2026-72815-pocPoC

  本地 Go PoC，演示 CVE-2026-72815，即 go-chi/chi 中间件 RealIP 中的 X-Forwarded-For IP 欺骗漏洞，可绕过基于 IP 的 ACL，并与 v5.3.0 修复版本进行对比。