CVE-2026-61826

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 10
EPSS: 0.3%
CWE: CWE-352
KEV Durumu: Hayır

Yayım tarihi: 30 Ekim 2026

Bazarr, Sonarr ve Radarr için bir eşlik uygulamasıdır. 1.5.7-beta.14 sürümünden önce, `bazarr/api/plex/oauth.py` dosyasındaki `api_ns_plex` ad alanı, Resource işleyicilerinde `@authenticate` özelliğini atlar, normal API'ler bir API anahtarı gerektirir ve hiçbir global kimlik doğrulama kancası telafi etmez. Anonim çağırıcılar, entegrasyonu devre dışı bırakmak veya bir saldırgan tarafından seçilen bir anahtarı kalıcı olarak kaydetmek için `POST /api/plex/oauth/logout` veya `POST /api/plex/apikey` çağırabilir, PIN, hesap veya durum önkoşulu olmadan. `POST /api/plex/oauth/pin` ve `GET /api/plex/oauth/pin/<pin_id>/check` ayrıca, bir saldırganın bir saldırgan tarafından kontrol edilen Plex hesabıyla bir PIN'i tamamlamasına izin verir ve bu hesabın tokenini instance'a bağlar. `PlexPinCheck`, `state_param` absence ettiğinde durum doğrulamasını atlar ve yalnızca bir eşleşme bulunmadığını günlüğe kaydeder, ancak yürütme durmaz. `POST /api/plex/select-server`, `POST /api/plex/oauth/servers`, `POST /api/plex/webhook/create`, `POST /api/plex/webhook/delete` ve `POST /api/plex/encrypt-apikey` ayrıca daha fazla `write_config()` işlemi açığa çıkarır. Saldırgan tarafından kontrol edilen sunucu URL'leri, daha sonra yapılandırılan API anahtarını `X-Plex-Token` ile taşıyan sonraki dış istekleri besler, bu da sunucu tarafı istek sahtekarlığı ve kimlik bilgileri açığa çıkarmasına ek olarak kalıcı yapılandırma bozulması ve entegrasyon reddi hizmetini sağlar. 1.5.7-beta.14 sürümü, anonim API-mutasyon yolunu kimlik doğrulama ekleyerek kapatır; tam OAuth durum doğrulaması kurulmaz ve ayrı bir artıklar için küratör incelemesi olarak kalır.

Orijinal açıklama (İngilizce)

Bazarr is a companion application to Sonarr and Radarr. Prior to 1.5.7-beta.14, the `api_ns_plex` namespace in `bazarr/api/plex/oauth.py` omits `@authenticate` on its Resource handlers, while normal APIs require an API key and no global authentication hook compensates. Anonymous callers can invoke `POST /api/plex/oauth/logout` to clear credentials and disable the integration, or `POST /api/plex/apikey` to persist an attacker-selected key, without a PIN, account or state precondition. `POST /api/plex/oauth/pin` and `GET /api/plex/oauth/pin/<pin_id>/check` additionally allow an attacker who completes a PIN with an attacker-controlled Plex account to bind that account's token to the instance. `PlexPinCheck` skips state validation when `state_param` is absent and merely logs a mismatch without stopping execution. `POST /api/plex/select-server`, `POST /api/plex/oauth/servers`, `POST /api/plex/webhook/create`, `POST /api/plex/webhook/delete` and `POST /api/plex/encrypt-apikey` expose further `write_config()` operations. Attacker-controlled server URLs feed later outbound requests carrying the configured API key in `X-Plex-Token`, enabling server-side request forgery and credential exposure in addition to persistent configuration tampering and integration denial of service. Version 1.5.7-beta.14 closes the anonymous API-mutation path by adding authentication; complete OAuth state validation is not established and remains a separate residual for curator review.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.