Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • CWE-290

CVE-2026-113703

SuggestArr'da X-Forwarded-For sahteciliğiyle kimlik doğrulama atlatma

giuseppe99barchetta SuggestArr

Kritik 9,3 CVSS 3.1
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
8 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, kimlik doğrulaması gerektirmeden uygulamanın tam yönetimine erişilmesine olanak tanır. Hizmeti dışarıya açık çalıştıran işletmeler için yüksek risk taşır ve acil işlem gerektirir.

ÖzetTürkçe

SuggestArr'ın 3.0.0 öncesi sürümlerinde, local_bypass kimlik doğrulama modunda istemci tarafından kontrol edilebilen X-Forwarded-For başlığı güvenilir kabul edilmektedir. Bu nedenle yerel ağ adresi olarak görünmek isteyen bir saldırgan, başlığa 127.0.0.1 gibi güvenilir bir adres yazarak kimlik bilgisi olmadan yönetici oturumu elde edebilir. Etkilenen sürüm aralığı 1.0.4 ile 3.0.0 öncesidir.

Saldırgan ne yapabilir?

Saldırgan herhangi bir kimlik bilgisi olmadan tam yönetici yetkisi kazanabilir; /api/users ve /api/jobs gibi uç noktalara erişerek kullanıcı ve iş yönetimi işlemleri yapabilir.

Kaynaktaki açıklama (İngilizce)

SuggestArr before 3.0.0 contains an authentication bypass vulnerability in its local_bypass authentication mode where enforce_authentication() in api_service/auth/middleware.py trusts the client-controlled request.remote_addr value, which is derived from the spoofable X-Forwarded-For header due to ProxyFix(x_for=1) configuration in api_service/app.py. Attackers can send a request with X-Forwarded-For set to a trusted CIDR address such as 127.0.0.1 to be granted an unauthenticated admin session via _load_bypass_user_context(), gaining full administrative access to endpoints like /api/users and /api/jobs without providing any credentials.

Ne yapmalı?

  1. SuggestArr'ı 3.0.0 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılana kadar uygulamaya dışarıdan erişimi kısıtlayın veya uygulamayı yerel ağ dışına açmayın. Genel öneri
  3. Ters vekil (reverse proxy) kullanılıyorsa, istemci tarafından gönderilen X-Forwarded-For başlığının dış istekler tarafından üzerine yazılmasını veya temizlenmesini sağlayın. Genel öneri
  4. Güncelleme sonrasında yönetici hesaplarını ve oturumları kontrol edin; şüpheli erişim olup olmadığını inceleyin. Genel öneri

Ek önlemler

  • Yerel doğrulama modu (local_bypass) yerine güçlü bir kimlik doğrulama yöntemi kullanın. Genel öneri
  • Uygulamanın erişim günlüklerini izleyerek olağan dışı yönetici uç noktası isteklerini takip edin. Genel öneri
  • Yönetim arayüzüne yalnızca güvenilen ağlardan veya VPN üzerinden erişime izin verin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
giuseppe99barchetta SuggestArr ≥ 1.0.4, < 3.0.0 3.0.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.