CVE-2026-120320
ŚrednieCVSS 4.7Streszczenie
W jxxghp MoviePilot do wersji 3.1.2 wykryto podatność w funkcji WorkflowExecutor.restore_context w pliku app/chain/workflow.py. Manipulacja danymi prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Zdalna deserializacja niezaufanych danych może prowadzić do wykonania dowolnego kodu na serwerze. Ryzyko jest wysokie, ponieważ exploit jest publiczny.
Rekomendacja
Zaktualizuj MoviePilot do wersji 3.1.3, która zawiera poprawkę 6034dcc880c13079aeb398dbe32c346ebcd3a6d2. Do czasu aktualizacji ogranicz dostęp do endpointu Workflow Fork.
Inne podatności w MoviePilot
Zobacz wszystkie- CVE-2026-77931Wysokie
MoviePilot do wersji 3.1.5 zawiera podatność na wstrzyknięcie poleceń, umożliwiającą wykonanie dowolnych poleceń systemu operacyjnego poprzez umieszczenie złośliwych instrukcji w niezaufanej treści przetwarzanej przez narzędzia takie jak browse_webpage, search_web i parsery metadanych torrentów. Treść jest przekazywana do nieograniczonego ExecuteCommandTool przez asyncio.create_subprocess_shell, a atakujący może obejść listę blokad validate_command_safety i wykorzystać kontekst is_admin sesji administratora.
- CVE-2026-16224Średnie
W aplikacji MoviePilot do wersji 2.13.5 wykryto podatność w nieznanej funkcji pliku /jxxghp/MoviePilot w komponencie Application API. Problem polega na nieprawidłowej autoryzacji, co umożliwia zdalne wykorzystanie luki.
- CVE-2026-11416Wysokie
MoviePilot zawiera podatność na path traversal w modułach pobierania z chmury AliPan, U115 i Rclone. Lokalna ścieżka docelowa jest tworzona przez konkatenację skonfigurowanego katalogu pobierania z nazwą pliku pochodzącą z metadanych zdalnego API chmury, bez normalizacji nazwy pliku ani walidacji ścieżki. Atakujący kontrolujący nazwę pliku zwracaną przez API może użyć sekwencji ../ do zapisu poza skonfigurowany katalog, potencjalnie nadpisując dowolne pliki, w tym konfiguracyjne lub wtyczek.
- CVE-2026-10107Wysokie
MoviePilot v2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym proxy obrazów. Uwierzytelniony atakujący może wysyłać żądania do dowolnych adresów URL, podając ciasteczko resource_token i URL, którego domena pasuje do skonfigurowanej listy dozwolonych domen.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in jxxghp MoviePilot up to 3.1.2. This vulnerability affects the function WorkflowExecutor.restore_context of the file app/chain/workflow.py of the component Workflow Fork Endpoint. Executing a manipulation can lead to deserialization. The attack can be launched remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 3.1.3 is able to resolve this issue. This patch is called 6034dcc880c13079aeb398dbe32c346ebcd3a6d2. It is recommended to upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS