CVE-2026-108264

Wizarr; Jellyfin, Plex, Emby ve diğer medya sunucuları için gelişmiş bir kullanıcı davet ve yönetim sistemidir. 2026.9.1 sürümünden önce, editör aracılığıyla sağlanan veya içe aktarılan paketlerdeki sihirbaz adımı Markdown içerikleri, uygulamanın kum havuzu dışındaki Jinja2 ortamında uygulama genel değişkenleri açık haldeyken app/blueprints/wizard/routes.py tarafından değerlendiriliyordu. Adım oluşturabilen kimliği doğrulanmış bir kullanıcı veya POST /settings/wizard/import üzerinden güvenilmeyen bir paketi içe aktaran bir yönetici, GET /wizard/{server}/{idx} saklanan adımı işlediğinde rastgele Python kodu çalıştırabiliyordu; app/jinja_filters.py ve app/services/wizard_widgets.py ek değerlendirme noktaları içeriyordu. Bu durum, uygulama kullanıcısı olarak işletim sistemi komutlarının çalıştırılmasına, Flask SECRET_KEY bilgisinin ifşa edilmesine, bağlı servis kimlik bilgilerine ve veri tabanına erişilmesine ve saklı siteler arası betik çalıştırma (XSS) üretilmesine yol açabilirdi. Bu sorun 2026.9.1 sürümünde düzeltilmiştir.