CVE-2026-10107
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
MoviePilot v2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym proxy obrazów. Uwierzytelniony atakujący może wysyłać żądania do dowolnych adresów URL, podając ciasteczko resource_token i URL, którego domena pasuje do skonfigurowanej listy dozwolonych domen.
Ocena ryzyka
Atakujący może ominąć ochronę sieci wewnętrznej, ponieważ funkcja SecurityUtils.is_safe_url sprawdza jedynie przynależność do domeny, nie blokując adresów prywatnych, pętli zwrotnej ani link-local. Umożliwia to skanowanie wewnętrznych usług (np. Jellyfin, Emby, Plex) oraz kradzież danych z zasobów sieci wewnętrznej.
Rekomendacja
Należy zaktualizować MoviePilot do najnowszej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do punktu końcowego proxy obrazów oraz wdrożenie filtrowania adresów IP w warstwie sieciowej.
Inne podatności w MoviePilot
Zobacz wszystkie- CVE-2026-16224Średnie
W aplikacji MoviePilot do wersji 2.13.5 wykryto podatność w nieznanej funkcji pliku /jxxghp/MoviePilot w komponencie Application API. Problem polega na nieprawidłowej autoryzacji, co umożliwia zdalne wykorzystanie luki.
- CVE-2026-11416Wysokie
MoviePilot zawiera podatność na path traversal w modułach pobierania z chmury AliPan, U115 i Rclone. Lokalna ścieżka docelowa jest tworzona przez konkatenację skonfigurowanego katalogu pobierania z nazwą pliku pochodzącą z metadanych zdalnego API chmury, bez normalizacji nazwy pliku ani walidacji ścieżki. Atakujący kontrolujący nazwę pliku zwracaną przez API może użyć sekwencji ../ do zapisu poza skonfigurowany katalog, potencjalnie nadpisując dowolne pliki, w tym konfiguracyjne lub wtyczek.
Oryginalny opis (angielski, źródło NVD)
MoviePilot v2 contains a server-side request forgery vulnerability in the image proxy endpoint that allows authenticated attackers to request arbitrary URLs by supplying a resource_token cookie and a URL whose domain matches the assembled allowlist. Attackers can bypass internal network protections because the SecurityUtils.is_safe_url function performs only domain-membership checking without blocking private, loopback, or link-local addresses, enabling enumeration of internal services such as Jellyfin, Emby, or Plex and exfiltration of data from internal network resources.