CVE-2026-16224
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W aplikacji MoviePilot do wersji 2.13.5 wykryto podatność w nieznanej funkcji pliku /jxxghp/MoviePilot w komponencie Application API. Problem polega na nieprawidłowej autoryzacji, co umożliwia zdalne wykorzystanie luki.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do funkcji API, co może prowadzić do naruszenia poufności lub integralności danych.
Rekomendacja
Zaleca się natychmiastowe zastosowanie łatki dostępnej pod identyfikatorem dc2b6910a423b3bfadeffaa303e1ba75cfb33900 oraz aktualizację do najnowszej wersji MoviePilot.
Inne podatności w MoviePilot
Zobacz wszystkie- CVE-2026-120320Średnie
W jxxghp MoviePilot do wersji 3.1.2 wykryto podatność w funkcji WorkflowExecutor.restore_context w pliku app/chain/workflow.py. Manipulacja danymi prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony i może być wykorzystany.
- CVE-2026-77931Wysokie
MoviePilot do wersji 3.1.5 zawiera podatność na wstrzyknięcie poleceń, umożliwiającą wykonanie dowolnych poleceń systemu operacyjnego poprzez umieszczenie złośliwych instrukcji w niezaufanej treści przetwarzanej przez narzędzia takie jak browse_webpage, search_web i parsery metadanych torrentów. Treść jest przekazywana do nieograniczonego ExecuteCommandTool przez asyncio.create_subprocess_shell, a atakujący może obejść listę blokad validate_command_safety i wykorzystać kontekst is_admin sesji administratora.
- CVE-2026-11416Wysokie
MoviePilot zawiera podatność na path traversal w modułach pobierania z chmury AliPan, U115 i Rclone. Lokalna ścieżka docelowa jest tworzona przez konkatenację skonfigurowanego katalogu pobierania z nazwą pliku pochodzącą z metadanych zdalnego API chmury, bez normalizacji nazwy pliku ani walidacji ścieżki. Atakujący kontrolujący nazwę pliku zwracaną przez API może użyć sekwencji ../ do zapisu poza skonfigurowany katalog, potencjalnie nadpisując dowolne pliki, w tym konfiguracyjne lub wtyczek.
- CVE-2026-10107Wysokie
MoviePilot v2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym proxy obrazów. Uwierzytelniony atakujący może wysyłać żądania do dowolnych adresów URL, podając ciasteczko resource_token i URL, którego domena pasuje do skonfigurowanej listy dozwolonych domen.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in jxxghp MoviePilot up to 2.13.5. The affected element is an unknown function of the file /jxxghp/MoviePilot of the component Application API. The manipulation leads to improper authorization. Remote exploitation of the attack is possible. The identifier of the patch is dc2b6910a423b3bfadeffaa303e1ba75cfb33900. Applying a patch is the recommended action to fix this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS