Vulnerabilidades do Cleanuparr Cleanuparr

🔔 Criar alerta RSS Verificador de versão

CVEs publicadas que afetam Cleanuparr Cleanuparr: 3 registro(s), com versões afetadas e correções.

CVE-2026-44184 Alta · 8.0 CWE-346 12/05/2026

Cleanuparr: Reflective CORS combined with trusted-network auth allows cross-origin admin API reads

Cleanuparr is a tool for automating the cleanup of unwanted or blocked files in Sonarr, Radarr, and supported download clients like qBittorrent. Prior to 2.9.10, Cleanuparr's global CORS policy reflects every request Origin and combines it with AllowCredentials(). When DisableAuthForLocalAddresses is enabled, the API also authenticates requests purely by source IP via TrustedNetworkAuthenticationHandler. The combination lets any website that an admin (or any user on a trusted IP) visits read authenticated API responses cross-origin — including the admin's permanent API key. This vulnerability is fixed in 2.9.10.

CVE-2026-44183 Crítica · 9.8 CWE-290 12/05/2026

Cleanuparr: bypass de autenticação por X-Forwarded-For forjado no modo reverse proxy

Cleanuparr é uma ferramenta para automatizar a limpeza de arquivos indesejados ou bloqueados no Sonarr, Radarr e em clientes de download compatíveis, como o qBittorrent. Antes da versão 2.9.10, TrustedNetworkAuthenticationHandler.ResolveClientIp interpreta a entrada mais à esquerda do cabeçalho X-Forwarded-For como o IP do cliente. Essa entrada é controlada pelo atacante — X-Forwarded-For é somente de acréscimo (append-only), de modo que o valor mais à esquerda é o que o cliente HTTP original declarou. Ao enviar um IP local forjado no cabeçalho, um atacante remoto não autenticado passa na verificação de rede confiável e é autenticado como administrador do Cleanuparr. Esta vulnerabilidade está corrigida na versão 2.9.10.

CVE-2026-32702 Média · 5.3 CWE-208 16/03/2026

Cleanuparr has Username Enumeration via Timing Attack

Cleanuparr is a tool for automating the cleanup of unwanted or blocked files in Sonarr, Radarr, and supported download clients like qBittorrent. From 2.7.0 to 2.8.0, the /api/auth/login endpoint contains a logic flaw that allows unauthenticated remote attackers to enumerate valid usernames by measuring the application's response time. It appears that the hashing function, which is the most time-consuming part of the process by design, occurs as part of the VerifyPassword function. With the short circuits occurring before the hashing function, a timing differential is introduced that exposes validity to the actor. This vulnerability is fixed in 2.8.1.