CVE-2026-111728

Seanime v3.7.0 - v3.10.3 versiyaları arasında düzgün tənzimlənməmiş avtorizasiya vasitəsilə əlçatan olan arqument inyeksiyası zəifliyi mövcuddur. Bu, autentifikasiya olunmamış LAN və ya Tailnet kliyentlərinə `transcodeHwAccel` parametrini `custom` olaraq təyin etməklə və `transcodeHwAccelCustomSettings` sahəsi vasitəsilə hücumçunun idarə etdiyi `decodeFlags` və `encodeFlags` dəyərlərini daxil etməklə imtiyazlı `mediastream` parametrləri mühafizəsindən yan keçməyə imkan verir; həmin dəyərlər olduğu kimi `ffmpeg` arqument vektoruna əlavə edilir. Hücumçular `mediastream` sorğusu və HLS pleylist son nöqtələri (endpoints) vasitəsilə icranı tetikleyərək, `seanime` proqramını işlədən istifadəçi səlahiyyətləri ilə hostda ixtiyari fayl yazılmasına və faylların kəsilməsinə (truncation) nail ola bilərlər. İnyeksiya edilmiş giriş seçimləri həmçinin `ffmpeg`-in protokol idarəediciləri vasitəsilə potensial olaraq ixtiyari lokal faylların oxunmasına və məlumatların kənara sızdırılmasına imkan verir.