CVE-2025-64115
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Movary, aplikacja webowa do śledzenia i oceniania filmów, do wersji 0.68.0 używa wartości nagłówka HTTP Referer bezpośrednio do przekierowań w wielu punktach końcowych ustawień. Pozwala to na otwarte przekierowanie do kontrolowanej przez atakującego witryny i ułatwia phishing. Podatność naprawiona w wersji 0.69.0.
Ocena ryzyka
Ryzyko obejmuje możliwość wykorzystania otwartego przekierowania do phishingu, co może prowadzić do kradzieży danych uwierzytelniających użytkowników.
Rekomendacja
Zaleca się aktualizację Movary do wersji 0.69.0 lub nowszej.
Inne podatności w Movary
Zobacz wszystkie- CVE-2026-40348Wysokie
Movary (self-hosted aplikacja do śledzenia i oceniania filmów) przed wersją 0.71.1 pozwala zwykłemu uwierzytelnionemu użytkownikowi wywołać żądania po stronie serwera do dowolnych celów wewnętrznych poprzez POST /settings/jellyfin/server-url-verify. Punkt końcowy przyjmuje URL kontrolowany przez użytkownika, dołącza /system/info/public i wysyła żądanie HTTP przez Guzzle bez ograniczeń dotyczących hostów wewnętrznych, adresów loopback lub zakresów sieci prywatnych. Umożliwia to SSRF i sondowanie sieci wewnętrznej, w tym wykrywanie hostów, stanu portów i fingerprinting usług.
- CVE-2025-64116Średnie
Movary, aplikacja webowa do śledzenia i oceniania historii filmów, przed wersją 0.69.0 akceptuje parametr redirect na stronie logowania bez walidacji, co pozwala atakującym przekierowywać uwierzytelnionych użytkowników na dowolne zewnętrzne strony. Podatność została naprawiona w wersji 0.69.0.
Oryginalny opis (angielski, źródło NVD)
Movary is a web application to track, rate and explore your movie watch history. Versions up to and including 0.68.0 use the HTTP Referer header value directly for redirects in multiple settings endpoints, allowing a crafted link to cause an open redirect to an attacker-controlled site and facilitate phishing. This vulnerability is fixed in 0.69.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS