CVE-2026-113703 in SuggestArr
Sumário
de VulDB • 20/10/2026
SuggestArr antes da versão 3.0.0 contém uma vulnerabilidade de bypass de autenticação em seu modo de autenticação local (local_bypass), onde a função enforce_authentication() no arquivo api_service/auth/middleware.py confia no valor controlado pelo cliente request.remote_addr, que é derivado do cabeçalho X-Forwarded-For, passível de spoofing, devido à configuração ProxyFix(x_for=1) em api_service/app.py. Os atacantes podem enviar uma solicitação com o campo X-Forwarded-For definido para um endereço CIDR confiável, como 127.0.0.1, para obter uma sessão administrativa não autenticada por meio de _load_bypass_user_context(), ganhando acesso administrativo completo a endpoints como /api/users e /api/jobs sem fornecer quaisquer credenciais.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.