CVE-2026-16224
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W aplikacji MoviePilot do wersji 2.13.5 wykryto podatność w nieznanej funkcji pliku /jxxghp/MoviePilot w komponencie Application API. Problem polega na nieprawidłowej autoryzacji, co umożliwia zdalne wykorzystanie luki.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do funkcji API, co może prowadzić do naruszenia poufności lub integralności danych.
Rekomendacja
Zaleca się natychmiastowe zastosowanie łatki dostępnej pod identyfikatorem dc2b6910a423b3bfadeffaa303e1ba75cfb33900 oraz aktualizację do najnowszej wersji MoviePilot.
Inne podatności w MoviePilot
Zobacz wszystkie- CVE-2026-11416Wysokie
MoviePilot zawiera podatność na path traversal w modułach pobierania z chmury AliPan, U115 i Rclone. Lokalna ścieżka docelowa jest tworzona przez konkatenację skonfigurowanego katalogu pobierania z nazwą pliku pochodzącą z metadanych zdalnego API chmury, bez normalizacji nazwy pliku ani walidacji ścieżki. Atakujący kontrolujący nazwę pliku zwracaną przez API może użyć sekwencji ../ do zapisu poza skonfigurowany katalog, potencjalnie nadpisując dowolne pliki, w tym konfiguracyjne lub wtyczek.
- CVE-2026-10107Wysokie
MoviePilot v2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym proxy obrazów. Uwierzytelniony atakujący może wysyłać żądania do dowolnych adresów URL, podając ciasteczko resource_token i URL, którego domena pasuje do skonfigurowanej listy dozwolonych domen.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in jxxghp MoviePilot up to 2.13.5. The affected element is an unknown function of the file /jxxghp/MoviePilot of the component Application API. The manipulation leads to improper authorization. Remote exploitation of the attack is possible. The identifier of the patch is dc2b6910a423b3bfadeffaa303e1ba75cfb33900. Applying a patch is the recommended action to fix this issue.