Podatności Movary

Movary (self-hosted aplikacja do śledzenia i oceniania filmów) przed wersją 0.71.1 pozwala zwykłemu uwierzytelnionemu użytkownikowi wywołać żądania po stronie serwera do dowolnych celów wewnętrznych poprzez POST /settings/jellyfin/server-url-verify. Punkt końcowy przyjmuje URL kontrolowany przez użytkownika, dołącza /system/info/public i wysyła żądanie HTTP przez Guzzle bez ograniczeń dotyczących hostów wewnętrznych, adresów loopback lub zakresów sieci prywatnych. Umożliwia to SSRF i sondowanie sieci wewnętrznej, w tym wykrywanie hostów, stanu portów i fingerprinting usług.

Movary, aplikacja webowa do śledzenia i oceniania historii filmów, przed wersją 0.69.0 akceptuje parametr redirect na stronie logowania bez walidacji, co pozwala atakującym przekierowywać uwierzytelnionych użytkowników na dowolne zewnętrzne strony. Podatność została naprawiona w wersji 0.69.0.

Movary, aplikacja webowa do śledzenia i oceniania filmów, do wersji 0.68.0 używa wartości nagłówka HTTP Referer bezpośrednio do przekierowań w wielu punktach końcowych ustawień. Pozwala to na otwarte przekierowanie do kontrolowanej przez atakującego witryny i ułatwia phishing. Podatność naprawiona w wersji 0.69.0.