CVE-2026-65696

Nome do Software Vulnerável e Versões Afetadas Overseerr versões anteriores a 1.35.1

Descrição Existe uma falha de bypass de autorização na API de assinatura de push. Usuários autenticados podem listar, ler e excluir assinaturas de push de outros usuários ao fornecer um userId arbitrário nos parâmetros de caminho. Isso ocorre porque os manipuladores afetados carecem de uma verificação de propriedade, permitindo o acesso a registros de usuários sem o filtro filteredFields. Isso pode levar ao vazamento de dados sensíveis, como endereços de e-mail e valores de plexId.

Recomendações Atualize para uma versão posterior à 1.35.0.