FICHE CVE

CVE-2026-44184

Publiée le 2026-05-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions de Cleanuparr antérieures à la 2.9.10 sont concernées si vous avez activé l'authentification par adresse locale. Un attaquant peut voler votre clé API permanente et prendre le contrôle total de votre système en incitant un utilisateur authentifié, situé sur une IP approuvée, à visiter un site web malveillant. Cela ne nécessite aucune authentification préalable de la part de l'attaquant, mais dépend de l'interaction d'un utilisateur avec un lien malveillant alors que sa session de navigateur est active.

CVSS 3.18.0 ÉLEVÉE

Type de faiblesse

Erreur de validation de l'origine · CWE-346 CWE-942

Publiée2026-05-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueAdjacent

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Cleanuparr is a tool for automating the cleanup of unwanted or blocked files in Sonarr, Radarr, and supported download clients like qBittorrent. Prior to 2.9.10, Cleanuparr's global CORS policy reflects every request Origin and combines it with AllowCredentials(). When DisableAuthForLocalAddresses is enabled, the API also authenticates requests purely by source IP via TrustedNetworkAuthenticationHandler. The combination lets any website that an admin (or any user on a trusted IP) visits read authenticated API responses cross-origin — including the admin's permanent API key. This vulnerability is fixed in 2.9.10.