CVE-2026-113703 in SuggestArr
Resumen
por VulDB • 2026-10-20
SuggestArr antes de la versión 3.0.0 contiene una vulnerabilidad de elusión de autenticación en su modo de autenticación local_bypass, donde enforce_authentication() en api_service/auth/middleware.py confía en el valor request.remote_addr controlado por el cliente, que se deriva del encabezado X-Forwarded-For suplantable debido a la configuración ProxyFix(x_for=1) en api_service/app.py. Los atacantes pueden enviar una solicitud con X-Forwarded-For establecido en una dirección CIDR de confianza como 127.0.0.1 para obtener una sesión de administrador no autenticada mediante _load_bypass_user_context(), obteniendo acceso administrativo completo a puntos finales como /api/users y /api/jobs sin proporcionar ninguna credencial.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.