CVE-2026-27793

Nome do Software Vulnerável e Versões Afetadas Versões do Seerr anteriores à 3.1.0

Descrição O Seerr é um gerenciador de solicitações e descoberta de mídia para Jellyfin, Plex e Emby. O endpoint da API GET /api/v1/user/:id divulga indevidamente o objeto completo de configurações de qualquer usuário, incluindo credenciais para Pushover, Pushbullet e Telegram, para qualquer solicitante autenticado, independentemente do seu nível de privilégio. Esta vulnerabilidade pode ser explorada independentemente ou em conjunto com uma vulnerabilidade de criação de conta sem autenticação. A exploração de ambas as vulnerabilidades cria uma cadeia de exploração sem acesso prévio que vaza credenciais de API de terceiros para todos os usuários, incluindo administradores. A variável id no endpoint da API é vulnerável.

Recomendações Atualize para a versão 3.1.0 ou posterior.