CVE-2026-108264
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.4%
- CWE
- CWE-1336
- KEV Durumu
- Hayır
Yayım tarihi: 9 Ekim 2026
Wizarr, Jellyfin, Plex, Emby ve diğer medya sunucuları için gelişmiş bir kullanıcı daveti ve yönetim sistemidir. 2026.9.1 sürümünden önce, düzenleyici aracılığıyla sağlanan veya ithal edilen demetler aracılığıyla sağlanan wizard adım Markdown, uygulamanın korumasız Jinja2 ortamında app/blueprints/wizard/routes.py tarafından değerlendiriliyordu ve uygulama genelinde erişim sağlıyordu. Adımlar oluşturabilen yetkili bir kullanıcı veya bir yöneticinin güvenilmeyen bir demeti POST /settings/wizard/import aracılığıyla ithal etmesi, depolanan adımı oluştururken GET /wizard/{server}/{idx} aracılığıyla任意 Python kodu çalıştırmasına olanak tanıyordu; app/jinja_filters.py ve app/services/wizard_widgets.py ek değerlendirme kaynakları içeriyordu. Bu, uygulama kullanıcısı olarak işletim sistemi komutlarının çalıştırılmasını, Flask SECRET_KEY'nin açığa çıkmasını, bağlı hizmet kimlik bilgilerine erişimi, veritabanına erişimi ve depolanan cross-site scripting üretimi gerçekleştirebilirdi. Bu sorun 2026.9.1 sürümünde çözülmüştür.
Orijinal açıklama (İngilizce)
Wizarr is an advanced user invitation and management system for Jellyfin, Plex, Emby, and other media servers. Prior to 2026.9.1, wizard step Markdown supplied through the editor or imported bundles was evaluated by app/blueprints/wizard/routes.py in the application's non-sandboxed Jinja2 environment with application globals exposed. An authenticated user able to create steps, or an administrator importing an untrusted bundle through POST /settings/wizard/import, could execute arbitrary Python when GET /wizard/{server}/{idx} rendered the stored step; app/jinja_filters.py and app/services/wizard_widgets.py contained additional evaluation sinks. This could execute operating-system commands as the application user, disclose the Flask SECRET_KEY, access connected service credentials and the database, and produce stored cross-site scripting. This issue is fixed in 2026.9.1.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.