CVE-2026-10107
Açıklama
MoviePilot v2, görüntü proxy uç noktasında, kimliği doğrulanmış saldırganların bir resource_token çerezi ve alanı oluşturulmuş izin listesiyle eşleşen bir URL sağlayarak rastgele URL'ler talep etmesine olanak tanıyan bir sunucu tarafı istek sahteciliği (SSRF) zafiyeti içermektedir. SecurityUtils.is_safe_url fonksiyonunun özel, döngüsel (loopback) veya yerel bağlantı adreslerini engellemeden yalnızca alan adı üyeliği kontrolü yapması nedeniyle saldırganlar dahili ağ korumalarını atlayabilir; bu durum Jellyfin, Emby veya Plex gibi dahili servislerin tespit edilmesine ve dahili ağ kaynaklarından veri sızdırılmasına imkan tanır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jxxghp MoviePilot | v ≤ v2.13.2, v ≤ 0b7854a0af8751160b68c43c46ded48d2bd8a212 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.