CVE-2025-64116
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Movary, aplikacja webowa do śledzenia i oceniania historii filmów, przed wersją 0.69.0 akceptuje parametr redirect na stronie logowania bez walidacji, co pozwala atakującym przekierowywać uwierzytelnionych użytkowników na dowolne zewnętrzne strony. Podatność została naprawiona w wersji 0.69.0.
Ocena ryzyka
Użytkownicy mogą zostać przekierowani na złośliwe strony, co może prowadzić do kradzieży danych logowania lub instalacji złośliwego oprogramowania.
Rekomendacja
Zaktualizuj Movary do wersji 0.69.0 lub nowszej. Dodatkowo rozważ walidację parametru redirect po stronie serwera.
Inne podatności w Movary
Zobacz wszystkie- CVE-2026-40348Wysokie
Movary (self-hosted aplikacja do śledzenia i oceniania filmów) przed wersją 0.71.1 pozwala zwykłemu uwierzytelnionemu użytkownikowi wywołać żądania po stronie serwera do dowolnych celów wewnętrznych poprzez POST /settings/jellyfin/server-url-verify. Punkt końcowy przyjmuje URL kontrolowany przez użytkownika, dołącza /system/info/public i wysyła żądanie HTTP przez Guzzle bez ograniczeń dotyczących hostów wewnętrznych, adresów loopback lub zakresów sieci prywatnych. Umożliwia to SSRF i sondowanie sieci wewnętrznej, w tym wykrywanie hostów, stanu portów i fingerprinting usług.
- CVE-2025-64115Średnie
Movary, aplikacja webowa do śledzenia i oceniania filmów, do wersji 0.68.0 używa wartości nagłówka HTTP Referer bezpośrednio do przekierowań w wielu punktach końcowych ustawień. Pozwala to na otwarte przekierowanie do kontrolowanej przez atakującego witryny i ułatwia phishing. Podatność naprawiona w wersji 0.69.0.
Oryginalny opis (angielski, źródło NVD)
Movary is a web application to track, rate and explore your movie watch history. Prior to 0.69.0, the login page accepts a redirect parameter without validation, allowing attackers to redirect authenticated users to arbitrary external sites. This vulnerability is fixed in 0.69.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS