FlareSolverr, API kimlik doğrulaması olmadan geliyor ve tarayıcı oturumlarını ona erişebilen herkese açık bırakıyor

Cloudflare ve DDoS-GUARD doğrulamalarını aşmak için gerçek bir tarayıcı çalıştıran, kendinizin barındırdığı proxy yazılımı FlareSolverr, bu tarayıcıyı kontrol eden API'de yerleşik bir kimlik doğrulama olmadan geliyor. 8 Kasım 2026'da dev.to'da yayımlanan bir yazı sonucu net biçimde ortaya koyuyor: servise erişebilen herkes, onu kullanarak URL'ler getirebilir, oturum durumunu tutabilir ve elde edilen cookie'leri yanında götürebilir.

HTTP'ye yanıt veren bir tarayıcı

FlareSolverr, Jackett gibi entegrasyonları desteklemek için var; bu entegrasyonlarda istemcinin, hedef site normal yanıt vermeden önce cookie'ler dahil çalışan bir tarayıcı oturumuna ihtiyacı vardır. API'si de bu göreve uygun. dev.to yazısına göre servis tarayıcı oturumları başlatıp kapatabiliyor, istekleri yapan taraf adına gerçekleştirebiliyor ve elde edilen sayfa verisini geri verebiliyor. Yazarın savuncağı nokta, bunun işletmecinin makinesinde çalışan genel amaçlı bir dış ağa çıkış yeteneği anlamına geldiği; göründüğü gibi sıradan bir durum sayfasından çok daha fazlası olduğu.

Tasarımı gereği kimlik doğrulama yok

Yazı, FlareSolverr sorun takibine işaret ediyor; burada servisin herkese açık bir portta, API'yi koruyan hiçbir şey olmadan dinlediği dağıtımlar belgelenmiş. Yazarın anlattığına göre, bakımcıların belgeleri ve sorun tartışmaları temel olguda hemfikir: yerleşik bir kimlik doğrulama katmanı yok ve işletmecilerin servisi özel bir ağda tutması ya da önüne güvendiği erişim denetimleri koyması bekleniyor. Varsayılan duruş, çevredeki ağa ilişkin bu varsayım geçerli kaldığı sürece güvenlidir.

Açıkta kalan bir örnek saldırgana ne sunuyor

Yazıya göre, kimliği doğrulanmamış bir çağırıcı gömülü tarayıcıyı seçtiği bir URL'ye yönlendirebilir ve ortaya çıkan cookie'leri ya da oturum durumunu elde tutabilir. Bu birleşim, açık bir örneği server-side request forgery için, ağ kısıtlamalarını aşmak için ya da basitçe işletmecinin bant genişliğini ve işlem gücünü tüketmek için kullanışlı kılar. Her giden istek FlareSolverr makinesinden kaynaklandığı için, çağıran uygulamada yapılandırılmış bir izin listesi proxy'nin erişebileceği hedefleri korumakta hiçbir işe yaramaz; makinenin ağ konumu ve DNS çözümleyicisi fiilen çevre periminin parçası haline gelir.

Yanıtlar ayrıca işletmecinin niyet ettiğinden daha fazlasını açık edebilir. Yazar, API yanıtlarının tarayıcı doğrulamalarının ürettiği artefaktları, yanıt gövdelerini ve cookie'leri taşıyabileceğine dikkat çekiyor; dolayısıyla herkese açık bir dinleyici, işletmecinin hâlâ upstream site tarafından korunduğunu varsaydığı içeriği ortaya çıkarabilir.

Sıfır dönen bir tarama ve bunun kanıtlamadığı şey

8 Kasım 2026'da, Asia/Sharangiz saatiyle 07:54 ile 07:55 arasında, yazar ZoomEye arama servisine yalnızca sayı döndüren üç sorgu çalıştırdı: biri app="FlareSolverr" ile eşleşen, biri title="FlareSolverr" ile eşleşen, biri de port="8191" ile başlık filtresini birleştiren. Hepsi sıfır döndü.

Yazı bu sonucu yorumlarken temkinli. Sıfır sayısı, bu parmak izlerinin o anda eşleşme üretmediğini gösterir; hiçbir örneğin erişilebilir olmadığını göstermez. Servis genel bir sayfa başlığı sunuyor, bir reverse proxy'nin arkasında duruyor, farklı bir portta dinliyor ya da kendini yalnızca bir POST isteğine yanıt olarak belli ediyor olabilir. Yazarın vardığı sonuç, boş bir sonucun işletmecileri kendi makine envanterlerini ve iç ağ yollarını doğrulamaya teşvik etmesi gerektiği; asla açıkta kalan örnek olmadığını varsunmaması gerektiği.

Sıkılaştırma adımları

Yazı pratik bir kontrol listesiyle kapanıyor:

• FlareSolverr'ı loopback adresine ya da özel bir yönetim arayüzüne bağlayın.

• Önüne kimlik doğrulamalı bir reverse proxy koyun ve o proxy'nin dışından erişimi test edin.

• Dış ağa çıkışı, entegrasyonun gerçekten ihtiyaç duyduğu hedeflerle sınırlayın; link-local aralıklarını, metadata servislerini ve iç yönetim ağlarını reddedin ve kullanım senaryosu gerektirmiyorsa sınırsız DNS çözümlemesini engelleyin.

• İstek ve oturum sınırları belirleyin, tarayıcı oturumlarını hızla kapatın ve cookie'leri gerekenden uzun saklamaktan kaçının.

• Kimin çağırdığını, hangi makineye bağlanıldığını, yanıt durumunu ve oturum yaşam döngüsünü kaydedin; tam yanıt gövdelerini ya da kimlik bilgilerini kaydetmeyin.

• Saldırı yüzeyi ikisini de kapsadığı için, birlikte gelen tarayıcıyı ve proxy servisini birlikte güncelleyin.

Neden önemli

FlareSolverr, kendinizin barındırdığı altyapıda yinelenen bir kalıbı gözler önüne seriyor: oturum açma sayfası olmayan bir servis zararsız görünür ve sonuçta, her aygıtın ya da container'ın güveni hak etmediği bir ağda erişilebilir hale gelir. Burada bahse konu riskler başıboş bir durum sayfasından daha yüksektir; çünkü API, gerçek oturum durumunu taşıyan ve makinenin kendi ağ konumundan istekler yapan bir tarayıcıyı komuta ediyor. Yazarın çerçevesi doğru olan: bu servisi dış ağa erişimi olan özel bir tarayıcı olarak görün, internetten uzak tutun ve ağınızda kimin 8191 portuna konuşabildiğini denetleyin.