Le composant kcfinder utilisé par LS (dans third_party) intègre un dispositif de sécurisation consistant à mémoriser l'adresse IP et le user_agent eb début de session puis à contrôler qu'ils ne varient pas d'une requête à l'autre, ce qui révélerait un vol de session.

Ce dispositif est inopérant lorsque limesurvey est installé derrière un reverse proxy : l'adresse IP prise en compte est celle du reverse proxy donc elle est la même pour toutes les requêtes. Donc un hacker ayant pu usurper la session, et utilisant le même user_agent, est considéré comme utilisateur légitime.

Si au lieu d'un reverse proxy on a une ferme de plusieurs reverse proxy en répartition de charge, on a non seulement un défaut de sécurisation, mais en plus les requêtes provenant de l'utilisateur légitime peuvent être refusées : En effet, le dispositif de sécurisation mémorise alors l'adresse IP du reverse proxy utilisé au premier appel et rejette ensuite toutes les requêtes provenant des autres reverse proxy de la ferme.