CVE-2026-46356Fleet是开源设备管理软件。在4.80.1版本之前，其IP提取逻辑存在漏洞，允许未经身份验证的攻击者通过伪造客户端IP头部来绕过API速率限制。攻击者可利用此漏洞对暴露在互联网上的Fleet实例进行暴力破解登录或其他滥用行为。该问题主要影响直接暴露在互联网且未配置反向代理的实例。
Fleet在处理客户端IP地址时，直接从请求头（如True-Client-IP、X-Real-IP、X-Forwarded-For）中提取值，而未验证这些头部是否源自受信任的代理。提取出的IP被用作速率限制和IP封禁决策的依据。由于缺乏验证，攻击者可以在每次请求中轮换这些头部的值，导致Fleet将每次尝试视为来自不同的客户端。这实际上绕过了针对登录API等敏感端点的基于IP的速率限制，从而实现了无限制的暴力破解或凭据填充攻击。此漏洞主要影响直接暴露在互联网上的实例，若实例后端有正确配置的代理或WAF覆盖头部，则受影响较小。