CVE-2026-73291
Açıklama
Seerr, Jellyfin, Plex ve Emby için açık kaynaklı bir medya isteği ve keşif yöneticisidir. 3.4.0 sürümünden önce, Seerr'in server/lib/imageproxy.ts dosyasındaki ImageProxy bileşeni, kimlik doğrulaması gerektirmeyen GET /avatarproxy/:jellyfinUserId rotası için önbellek dosya adı oluşturmak üzere üst kaynağın ETag ve Content-Type yanıt başlıklarını kullanır; bu da kötü niyetli veya ele geçirilmiş bir Jellyfin ya da Emby sunucusunun veya düz metin medya sunucusu bağlantısındaki bir ortadaki adam saldırganının, path.join ve fs.writeFile tarafından önbellek dizini dışında normalleştirilen dizin geçiş dizileri sağlamasına, /app/dist/index.js veya diğer dosyaların üzerine yazmasına ve konteyner yeniden başlatıldıktan sonra node kullanıcısı olarak kod çalıştırmasına olanak tanır. Bu sorun 3.4.0 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| seerr-team seerr | < 3.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.