Produits Entr'ouvert » Hobo

notre hobo/middleware/xforwardedfor.py est trop naïf :

    def process_request(self, request):
        if getattr(settings, 'USE_X_FORWARDED_FOR', False):
            if 'x-forwarded-for' in request.headers:
                ip = request.headers.get('X-Forwarded-For', '').split(",")[0].strip()
                if ip:
                    request.META['REMOTE_ADDR'] = ip
        return None

en prenant la première IP sans vérifier que la chaine de proxy n'est pas "trop longue", et boum. Il faudrait faire quelque chose du genre https://github.com/ferrix/xff/blob/master/xff/middleware.py (mais c'est vraiment pas marrant)

En approche de base, je propose de partir sur une confiance dans X_REAL_IP qui, si elle existe, semble être mieux gérée.