CVE-2026-44184
WysokieStreszczenie
CVE-2026-44184 dotyczy narzędzia Cleanuparr, które automatyzuje usuwanie niechcianych lub zablokowanych plików w Sonarr, Radarr i wspieranych klientach pobierania. W wersjach przed 2.9.10, globalna polityka CORS narzędzia pozwalała na odzwierciedlenie każdego żądania Origin, co umożliwiało dostęp do uwierzytelnionych odpowiedzi API przez inne strony internetowe.
Ocena ryzyka
Ryzyko związane z tą podatnością polega na tym, że każda strona internetowa odwiedzana przez administratora lub użytkownika z zaufanego adresu IP mogła uzyskać dostęp do uwierzytelnionych odpowiedzi API, w tym do stałego klucza API administratora. Może to prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Rekomendacja
Zaleca się aktualizację Cleanuparr do wersji 2.9.10 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto rozważyć przegląd polityki CORS oraz mechanizmów uwierzytelniania w celu zwiększenia bezpieczeństwa.
Inne podatności w Cleanuparr
Oryginalny opis (angielski, źródło NVD)
Cleanuparr is a tool for automating the cleanup of unwanted or blocked files in Sonarr, Radarr, and supported download clients like qBittorrent. Prior to 2.9.10, Cleanuparr's global CORS policy reflects every request Origin and combines it with AllowCredentials(). When DisableAuthForLocalAddresses is enabled, the API also authenticates requests purely by source IP via TrustedNetworkAuthenticationHandler. The combination lets any website that an admin (or any user on a trusted IP) visits read authenticated API responses cross-origin — including the admin's permanent API key. This vulnerability is fixed in 2.9.10.