CVE-2026-113703

Nome do Software Vulnerável e Versões Afetadas SuggestArr versões anteriores a 3.0.0

Description Existe uma falha de bypass de autenticação no modo de autenticação local bypass. A função enforce authentication() em api service/auth/middleware.py confia no valor de request.remote addr, que é derivado do cabeçalho X-Forwarded-For, passível de spoofing, devido à configuração ProxyFix(x for=1) em api service/app.py. Um invasor pode simular um endereço CIDR confiável, como 127.0.0.1, através do cabeçalho X-Forwarded-For para obter uma sessão de administrador não autenticada por meio da função load bypass user context(). Isso permite acesso administrativo total a endpoints como '/api/users' e '/api/jobs' sem a necessidade de credenciais.

Recommendations Atualize para a versão 3.0.0 ou posterior. Como mitigação temporária, restrinja o acesso aos endpoints '/api/users' e '/api/jobs' ou desative o modo de autenticação local bypass.