Knock Knock plugin IP Whitelist bypass via an X-Forwarded-For HTTP header

KRITISCH 9.1CVE-2020-13485 · GHSA-wxvr-qqm7-6h65 · Published 25/05/2020 · updated 17/06/2026

Kurz gesagt

CVE-2020-13485 ist eine Schwachstelle (KRITISCH (CVSS 9.1)) in verbb/knock-knock, knock knock (verbb).
Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen (EPSS): 1.4%, höher als bei 71.6% aller Schwachstellen.
Abhilfe: auf 1.2.8 oder neuer aktualisieren.

Package	Affected versions	Patched versions
verbb/knock-knock Packagist	`< 1.2.8`	`1.2.8`
knock knock verbb	`< 1.2.8`	`1.2.8`

The Knock Knock plugin before 1.2.8 for Craft CMS allows IP Whitelist bypass via an X-Forwarded-For HTTP header.

NVD description

The Knock Knock plugin before 1.2.8 for Craft CMS allows IP Whitelist bypass via an X-Forwarded-For HTTP header.

Running one of these products? Scan your site to see whether it exposes a vulnerable version.