PT-2026-57861
CVE-2026-61826
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Bazarr الإصدارات السابقة لـ 1.5.7-beta.14
الوصف
يفتقر النطاق
api ns plex في bazarr/api/plex/oauth.py إلى مُزخرف @authenticate في معالجات الموارد الخاصة به، مما يسمح للمستخدمين المجهولين بتنفيذ إجراءات غير مصرح بها. يمكن للمهاجمين استخدام نقطة النهاية 'POST /api/plex/oauth/logout' لمسح بيانات الاعتماد وتعطيل التكامل، أو 'POST /api/plex/apikey' لتعيين مفتاح API مخصص. بالإضافة إلى ذلك، تسمح نقاط النهاية 'POST /api/plex/oauth/pin' و 'GET /api/plex/oauth/pin//check' للمهاجم بربط رمز حساب Plex متحكم به إلى المثيل لأن PlexPinCheck لا يوقف التنفيذ عند غياب state param. تشمل نقاط النهاية المتأثرة الأخرى 'POST /api/plex/select-server' و 'POST /api/plex/oauth/servers' و 'POST /api/plex/webhook/create' و 'POST /api/plex/webhook/delete' و 'POST /api/plex/encrypt-apikey'، والتي تسمح بعمليات write config() غير مصرح بها. من خلال تقديم عناوين URL لخوادم يتحكم بها المهاجم، يمكن تنفيذ تزوير الطلبات من جانب الخادم (SSRF)—وهي تقنية يتم من خلالها إجبار الخادم على إرسال طلبات إلى موقع غير مقصود—وكشف مفتاح API المكون عبر رأس X-Plex-Token.التوصيات
التحديث إلى الإصدار 1.5.7-beta.14.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾