CVE-2026-113703 in SuggestArr
요약
\~에 의해 VulDB • 2026. 10. 20.
SuggestArr 3.0.0 이전 버전에는 로컬 우회(local_bypass) 인증 모드에서 인증 우회 취약점이 존재합니다. 이 모드는 `api_service/auth/middleware.py`의 `enforce_authentication()` 함수가 클라이언트 제어 요청인 `request.remote_addr` 값을 신뢰하며, 이는 `api_service/app.py`의 `ProxyFix(x_for=1)` 구성으로 인해 속임수가 가능한 X-Forwarded-For 헤더에서 파생됩니다. 공격자는 X-Forwarded-For를 127.0.0.1과 같은 신뢰할 수 있는 CIDR 주소로 설정한 요청을 전송하여 `_load_bypass_user_context()`를 통해 인증되지 않은 관리자 세션을 획득하고, `/api/users` 및 `/api/jobs`와 같은 엔드포인트에 대한 전체 관리 권한을 credentials 없이 얻을 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.