CVE-2026-40348

إصدارات Movary الأقدم من 0.71.1

يمكن للمستخدم المصادق عليه إرسال طلبات من جانب الخادم إلى أهداف داخلية عشوائية عبر نقطة النهاية ’/settings/jellyfin/server-url-verify‘. يقبل التطبيق عنوان URL يتحكم فيه المستخدم، ويضيف إليه ’/system/info/public‘، ثم يرسل طلب HTTP باستخدام Guzzle. ويؤدي عدم وجود قيود على المضيفات الداخلية أو عناوين loopback أو نطاقات الشبكات الخاصة إلى إتاحة تزوير الطلبات من جانب الخادم (SSRF)، وهو عيب يتم من خلاله خداع الخادم لإرسال طلبات إلى موقع غير مقصود. يمكن استخدام هذا الثغرة في عمليات الاستطلاع الداخلية، بما في ذلك اكتشاف المضيفات، وفحص حالة المنافذ، وتحديد بصمات الخدمات، وقد يسمح بالوصول إلى الخدمات الإدارية الداخلية أو نقاط نهاية البيانات الوصفية السحابية.

قم بالتحديث إلى الإصدار 0.71.1.

كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’/settings/jellyfin/server-url-verify‘ لتقليل مخاطر الاستغلال.