CVE-2026-27793

Seerr; Jellyfin, Plex ve Emby için açık kaynaklı bir medya istek ve keşif yöneticisidir. Versiyon 3.1.0 öncesinde, `GET /api/v1/user/:id` uç noktası, yetki düzeyine bakılmaksızın herhangi bir kimliği doğrulanmış istekçiye, Pushover, Pushbullet ve Telegram kimlik bilgileri dahil olmak üzere herhangi bir kullanıcıya ait tüm ayarlar nesnesini döndürür. Bu zafiyet tek başına veya bildirilen kimlik doğrulaması gerektirmeyen hesap oluşturma zafiyeti olan CVE-2026-27707 ile birlikte istismar edilebilir. İkisi birleştirildiğinde, bu iki zafiyet, yöneticiler dahil tüm kullanıcılar için üçüncü taraf API kimlik bilgilerini sızdıran bir sıfır ön erişim zinciri oluşturur. Versiyon 3.1.0, hem bu zafiyet hem de CVE-2026-27707 için bir düzeltme içerir.