CVE-2026-61826
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W Bazarr przed wersją 1.5.7-beta.14 przestrzeń nazw `api_ns_plex` w `bazarr/api/plex/oauth.py` nie wymaga uwierzytelnienia, przez co anonimowi wywołujący mogą wykonywać operacje modyfikujące konfigurację, m.in. wylogowanie integracji Plex, zapisanie wybranego klucza API, powiązanie tokenu konta atakującego oraz operacje `write_config()`. Dodatkowo brak walidacji stanu OAuth i przyjmowanie adresów serwerów atakującego prowadzi do fałszowania żądań po stronie serwera (SSRF) i ujawnienia poświadczeń.
Ocena ryzyka
Atakujący bez uwierzytelnienia może trwale zmienić konfigurację integracji Plex, wyłączyć ją, przejąć tokeny oraz wykorzystać serwer do żądań SSRF z ujawnieniem klucza API.
Rekomendacja
Zaktualizuj Bazarr do wersji 1.5.7-beta.14 lub nowszej, a do czasu aktualizacji ogranicz dostęp sieciowy do API Plex i weryfikuj konfigurację integracji.
Powiązane podatności
- CVE-2026-86596Krytyczne
Wtyczka s2Member dla WordPressa w wersjach do 260927 włącznie jest podatna na zdalne wykonanie kodu poprzez parametr 'item_name'. Niedostateczna sanityzacja w funkcji strip_php_tags_deep() usuwa jedynie literalne sekwencje '<?', a późniejsze czyszczenie placeholderów po interpolacji odtwarza poprawny otwieracz '<?php' już po osadzeniu wartości kontrolowanej przez atakującego w szablonie e-mail.
- CVE-2026-97718Krytyczne
W wersji 14.60 serwera Secure Access występuje podatność typu cross-site request forgery (CSRF). Z powodu obejścia mechanizmu kontroli bezpieczeństwa atakujący może zmusić administratora do utworzenia konta pod kontrolą atakującego.
- CVE-2026-116769Krytyczne
W serwerach Secure Access w wersjach od 13.0 do wersji przed 14.61 występuje podatność polegająca na obejściu uwierzytelniania. Atakujący mogą modyfikować ustawienia bezpieczeństwa klienta za pośrednictwem serwera.
- CVE-2026-102435Krytyczne
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji _getObjAttr we wszystkich wersjach do 3.5.54 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Wymaga to aktywnego dodatku PDF Generator i skonfigurowanego formularza Contact Form 7 do generowania PDF.
- CVE-2026-105606Krytyczne
Rozszerzenie Joomla Custom Tables w wersjach poniżej 3.7.8 pozwala nieuwierzytelnionemu atakującemu na przesłanie dowolnego pliku (typu polyglot) z kontrolowanym rozszerzeniem do publicznie dostępnego katalogu tmp. Ścieżka zapisanego pliku jest ujawniana w odpowiedzi, a plik jest domyślnie serwowany jako statyczna treść.
- CVE-2026-105604Krytyczne
Rozszerzenie Joomla DJ-Classifieds w wersjach poniżej 3.11.3 jest podatne na nieuwierzytelnioną iniekcję SQL w wyszukiwarce frontendowej.
- CVE-2026-105603Krytyczne
Rozszerzenie Joomla DJ-Classifieds w wersjach poniżej 3.11.3 pozwala nieuprzywilejowanemu użytkownikowi na przesłanie dowolnego pliku, co prowadzi do pełnego zdalnego wykonania kodu (RCE).
- CVE-2026-88811Krytyczne
Brak filtrowania w meta proxy SUSE Rancher Manager może powodować wyciek przekazanych poświadczeń Rancher do dostawców chmury. Problem dotyczy SUSE Rancher w wersjach 2.15.0–2.15.3, 2.14.0–2.14.7 oraz 2.13.0–2.13.11.
- CVE-2026-105769Krytyczne
kaniko przed wersją 1.25.20 może wysłać token dostępu Microsoft Entra ID (Azure AD) dla Azure Resource Manager do rejestru kontrolowanego przez atakującego. Wynika to z niezakotwiczonego wyrażenia regularnego w pomocniku poświadczeń ACR, które akceptuje nazwy hostów zawierające domeny .azurecr.io, .azurecr.cn, .azurecr.de lub .azurecr.us.
- CVE-2026-94290Krytyczne
Kontroler SUSE Rancher Fleet nie ograniczał wystarczająco, które sekrety kubeconfig może przywoływać obiekt Fleet Cluster. W efekcie zwykły użytkownik mógł zdefiniować klaster w swojej przestrzeni nazw i powiązać go z poświadczeniami administracyjnymi klastra zarządzającego, co pozwalało kontrolerowi zarządzać klastrem zarządzającym w imieniu tego użytkownika z podwyższonymi uprawnieniami. Podatność dotyczy wersji 0.16.0–0.16.3, 0.15.0–0.15.8, 0.14.0–0.14.12, 0.13.0–0.13.17 i prawdopodobnie starszych.
Oryginalny opis (angielski, źródło NVD)
Bazarr is a companion application to Sonarr and Radarr. Prior to 1.5.7-beta.14, the `api_ns_plex` namespace in `bazarr/api/plex/oauth.py` omits `@authenticate` on its Resource handlers, while normal APIs require an API key and no global authentication hook compensates. Anonymous callers can invoke `POST /api/plex/oauth/logout` to clear credentials and disable the integration, or `POST /api/plex/apikey` to persist an attacker-selected key, without a PIN, account or state precondition. `POST /api/plex/oauth/pin` and `GET /api/plex/oauth/pin/<pin_id>/check` additionally allow an attacker who completes a PIN with an attacker-controlled Plex account to bind that account's token to the instance. `PlexPinCheck` skips state validation when `state_param` is absent and merely logs a mismatch without stopping execution. `POST /api/plex/select-server`, `POST /api/plex/oauth/servers`, `POST /api/plex/webhook/create`, `POST /api/plex/webhook/delete` and `POST /api/plex/encrypt-apikey` expose further `write_config()` operations. Attacker-controlled server URLs feed later outbound requests carrying the configured API key in `X-Plex-Token`, enabling server-side request forgery and credential exposure in addition to persistent configuration tampering and integration denial of service. Version 1.5.7-beta.14 closes the anonymous API-mutation path by adding authentication; complete OAuth state validation is not established and remains a separate residual for curator review.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS