CVE-2026-108264

Wizarr; Jellyfin, Plex, Emby və digər media serverlər üçün təkmil istifadəçi dəvət və idarəetmə sistemidir. 2026.9.1 versiyasından əvvəl redaktor vasitəsilə təmin edilən və ya idxal edilmiş paketlərdəki wizard mərhələsinin Markdown mətni tətbiqin qumcuza alınmamış (non-sandboxed) Jinja2 mühitində, tətbiq qlobal dəyişənləri açıq şəkildə app/blueprints/wizard/routes.py tərəfindən qiymətləndirilirdi. Mərhələlər yaratmaq imkanı olan autentifikasiya olunmuş istifadəçi və ya POST /settings/wizard/import vasitəsilə etibarsız paketi idxal edən administrator, GET /wizard/{server}/{idx} saxlanılmış mərhələni render etdikdə ixtiyari Python kodunu icra edə bilərdi; app/jinja_filters.py və app/services/wizard_widgets.py faylları əlavə qiymətləndirmə mənbələri (evaluation sinks) ehtiva edirdi. Bu, əməliyyat sistemi əmrlərinin tətbiq istifadəçisi kimi icrasına, Flask SECRET_KEY-nin ifşa olunmasına, qoşulmuş xidmət etibarnamələrinə və verilənlər bazasına girişə, həmçinin saxlanılmış saytlararası skriptinqə (XSS) səbəb ola bilərdi. Bu problem 2026.9.1 versiyasında düzəldilmişdir.