PT-2026-22383
CVE-2026-27793
·
تاريخ النشر
2026-02-27
·
تاريخ التحديث
2026-03-04
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Seerr الأقدم من 3.1.0
الوصف
Seerr هو مدير للطلبات واكتشاف الوسائط لبرامج Jellyfin وPlex وEmby. تقوم نقطة نهاية واجهة برمجة التطبيقات (API)
GET /api/v1/user/:id بالكشف بشكل غير صحيح عن كائن الإعدادات الكامل لأي مستخدم، بما في ذلك بيانات اعتماد Pushover وPushbullet وTelegram، لأي طالب مصادق عليه، بغض النظر عن مستوى امتيازاته. يمكن استغلال هذه الثغرة بشكل مستقل أو بالاقتران مع ثغرة إنشاء حساب دون مصادقة. يؤدي استغلال هذين الثغرتين إلى إنشاء سلسلة استغلال دون الحاجة إلى وصول مسبق، مما يؤدي إلى تسريب بيانات اعتماد واجهة برمجة التطبيقات (API) الخاصة بأطراف ثالثة لجميع المستخدمين، بما في ذلك المسؤولون. المتغير id في نقطة نهاية واجهة برمجة التطبيقات (API) معرض للخطر.التوصيات
قم بالتحديث إلى الإصدار 3.1.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾