CVE-2026-113703

SuggestArr 3.0.0 öncesi sürümler, local_bypass kimlik doğrulama modunda bir kimlik doğrulama atlatma zafiyeti içermektedir; burada api_service/auth/middleware.py dosyasındaki enforce_authentication() fonksiyonu, api_service/app.py dosyasındaki ProxyFix(x_for=1) yapılandırması nedeniyle sahtesi oluşturulabilen X-Forwarded-For başlığından türetilen ve istemci tarafından kontrol edilen request.remote_addr değerine güvenmektedir. Saldırganlar, _load_bypass_user_context() aracılığıyla kimlik doğrulanmamış bir yönetici oturumu elde etmek için X-Forwarded-For başlığını 127.0.0.1 gibi güvenilir bir CIDR adresi olarak ayarlayıp istek göndererek, herhangi bir kimlik bilgisi sağlamadan /api/users ve /api/jobs gibi uç noktalara tam yönetici erişimi sağlayabilirler.