CVE-2026-61826

Nome do Software Vulnerável e Versões Afetadas Bazarr versões anteriores a 1.5.7-beta.14

Descrição O namespace api ns plex em bazarr/api/plex/oauth.py não possui o decorador @authenticate em seus manipuladores de Recurso, permitindo que usuários anônimos realizem ações não autorizadas. Atacantes podem usar o endpoint 'POST /api/plex/oauth/logout' para limpar credenciais e desativar a integração, ou 'POST /api/plex/apikey' para definir uma chave de API personalizada. Além disso, 'POST /api/plex/oauth/pin' e 'GET /api/plex/oauth/pin//check' permitem que um atacante vincule um token de conta Plex controlado por ele à instância, pois o PlexPinCheck não interrompe a execução quando o state param está ausente. Outros endpoints afetados incluem 'POST /api/plex/select-server', 'POST /api/plex/oauth/servers', 'POST /api/plex/webhook/create', 'POST /api/plex/webhook/delete' e 'POST /api/plex/encrypt-apikey', que permitem operações write config() não autorizadas. Ao fornecer URLs de servidor controladas pelo atacante, é possível desencadear server-side request forgery (SSRF)—uma técnica onde o servidor é forçado a fazer requisições para um local não pretendido—e expor a chave de API configurada através do cabeçalho X-Plex-Token.

Recomendações Atualize para a versão 1.5.7-beta.14.