qBittorrent 5.3 schließt Login-Umgehung hinter Reverse Proxys
qBittorrent 5.3.0 bringt viele Funktionen für die Web-UI und mehrere Sicherheitskorrekturen. Wichtigster Punkt: Bei aktivierter Reverse-Proxy-Unterstützung ließen sich Subnetz-Freigabe und Fehlanmeldesperre per gefälschtem X-Forwarded-For umgehen. Dazu kommen Schutz vor Cross-Site-Anfragen und SMTP-Injection sowie libtorrent 2.1 als neue Standardbasis.
Das Projekt qBittorrent hat Version 5.3.0 veröffentlicht. Neben zahlreichen Funktionen für die Weboberfläche schließt das Release eine Lücke, über die sich bei aktivierter Reverse-Proxy-Unterstützung die IP-Freigabeliste und die Sperre nach Fehlanmeldungen umgehen ließen. Betroffen sind vor allem Selfhosting-Installationen, die die Web-UI hinter Nginx, Traefik, Caddy oder einem anderen Proxy betreiben, etwa als Docker-Container auf einem NAS oder Heimserver. Wer die Web-UI nur lokal ohne Proxy nutzt, ist von diesem Punkt nicht betroffen. Ein Update gehört ins nächste Wartungsfenster, bei per Proxy aus dem Internet erreichbaren Instanzen zeitnah.
Was ist neu?
Die Projektseite qbittorrent.org meldet das Release mit Datum 19. Oktober 2026, das GitHub-Release release-5.3.0 ist auf den 20. Oktober datiert. Die Standardvariante basiert nun auf libtorrent 2.1.x (2.1.2), eine Ausgabe mit libtorrent 1.2.x wird weiterhin angeboten. Das Projekt warnt Nutzer mit viel Upload ausdrücklich: Die neue 2.1.x-Basis liest langsamer als 1.2.x, was die Upload-Geschwindigkeit senken kann. Gebaut wird gegen Qt 6.11.2.
Sicherheitskorrekturen im Detail
Laut Changelog und den zugehörigen Pull Requests behebt 5.3.0 unter anderem:
- Authentifizierungsumgehung per gefälschtem X-Forwarded-For (PR 24889): Bei aktivierter Reverse-Proxy-Unterstützung wählte qBittorrent den Eintrag ganz links im Header, den der Client selbst kontrolliert. Ein Angreifer konnte sich so als freigegebene Adresse ausgeben, die Subnetz-Freigabe umgehen und der Sperre nach Fehlanmeldungen entgehen. Die Korrektur wertet den Header nun vom nächsten Hop nach außen aus.
- Erkennung von Cross-Site-Anfragen über den Header Sec-Fetch-Site (PR 24792 und 24970): Bisher wurde eine Anfrage ohne Origin und Referer immer akzeptiert, was eine fremde Seite per Referrer-Policy erzwingen konnte.
- Schutz vor SMTP-Injection (PR 24793): Steuerzeichen in Torrent-Namen konnten zusätzliche Mail-Header einschleusen.
- Der eingebaute Tracker legt bei nicht authentifizierten Announces keine neuen Einträge mehr an (PR 24869), was zuvor unbegrenztes Speicherwachstum erlaubte.
- Zustandsändernde WebAPI-Aufrufe für search/downloadTorrent und rss/setFeedRefreshInterval verlangen jetzt POST (PR 24791).
- Eine Obergrenze für Web-UI-Sitzungen (PR 24720) verhindert, dass Clients mit ständigen Neuanmeldungen den Speicher füllen.
- Dynamisches DNS nutzt HTTPS (PR 24805).
CVE-Kennungen nennt das Projekt im Changelog nicht.
Für wen ist das relevant?
Am stärksten betroffen sind Installationen, die die Option für Reverse-Proxy-Unterstützung aktiviert und eine Subnetz-Freigabe ohne Anmeldung konfiguriert haben. Genau diese Kombination ist in Heimnetzen und auf NAS-Systemen verbreitet. Der PR-Text weist auf eine Verhaltensänderung hin: Fehlt ein zwischengeschalteter Proxy in der Liste der vertrauenswürdigen Proxys, gilt künftig dieser Hop als Client. Wer mehrere Proxy-Stufen betreibt, sollte die Liste nach dem Update prüfen, sonst greifen Freigaben womöglich nicht mehr.
Neue Funktionen in der Web-UI
- Virtuelle Liste standardmäßig aktiv, was große Torrent-Listen flüssiger macht
- „Alle auswählen“, „Auswahl umkehren“ und eine zweite Sortierspalte
- Anzeige des freien Speicherplatzes beim Hinzufügen von Torrents
- Pausieren und Fortsetzen der gesamten BitTorrent-Sitzung sowie Start im pausierten Zustand
- Export und Import von RSS-Regeln, Download abgeschlossener Dateien direkt über die Web-UI
- Sperren ganzer IP-Bereiche und Filtern nach Infohash
Was Admins jetzt tun sollten
- Version prüfen: In der Web-UI unter „Über“ oder per WebAPI-Endpunkt
/api/v2/app/versiondie laufende Version abfragen. Alles unter 5.3.0 ist betroffen. - In den Web-UI-Optionen prüfen, ob die Reverse-Proxy-Unterstützung und die Anmeldeausnahme für freigegebene IP-Subnetze gleichzeitig aktiv sind. Bis zum Update die Subnetz-Ausnahme deaktivieren.
- Auf 5.3.0 aktualisieren. Docker-Nutzer sollten prüfen, ob ihr Image bereits die neue Version enthält, bevor sie neu ziehen.
- Nach dem Update die Liste vertrauenswürdiger Proxys auf alle Hops prüfen.
- Bei viel Upload abwägen, ob die Variante mit libtorrent 1.2.x die bessere Wahl ist.
- Die Web-UI nicht direkt ins Internet stellen, sondern per VPN oder authentifizierendem Proxy absichern.
Einordnung
Die X-Forwarded-For-Lücke ist ein typischer Fehler bei Anwendungen hinter Proxys: Wer dem Header blind vertraut, lässt Clients ihre Herkunft selbst bestimmen. Für qBittorrent ist das besonders relevant, weil viele Installationen bequem per Subnetz-Freigabe ohne Passwort laufen. Die übrigen Korrekturen härten die Web-UI gegen Cross-Site-Anfragen und Speichererschöpfung. Das Update ist damit mehr als ein Funktionsrelease und sollte bei erreichbaren Instanzen nicht lange warten.
Passende Anleitungen auf S-EDV
- qBittorrent auf einer Synology betreiben: Installation und Grundkonfiguration auf dem NAS.
- Echte Client-IP hinter einem Reverse Proxy erkennen: erklärt, warum X-Forwarded-For nur von vertrauenswürdigen Proxys übernommen werden darf.
- Tinyauth als Forward-Auth vor Traefik: zusätzliche Anmeldung vor Web-Oberflächen im Heimnetz.
