CVE-2026-77931
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
MoviePilot do wersji 3.1.5 zawiera podatność na wstrzyknięcie poleceń, umożliwiającą wykonanie dowolnych poleceń systemu operacyjnego poprzez umieszczenie złośliwych instrukcji w niezaufanej treści przetwarzanej przez narzędzia takie jak browse_webpage, search_web i parsery metadanych torrentów. Treść jest przekazywana do nieograniczonego ExecuteCommandTool przez asyncio.create_subprocess_shell, a atakujący może obejść listę blokad validate_command_safety i wykorzystać kontekst is_admin sesji administratora.
Ocena ryzyka
Atakujący może uzyskać zdalne wykonanie kodu na hoście z uprawnieniami administratora, co prowadzi do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj MoviePilot do wersji nowszej niż 3.1.5, ogranicz dostęp do interfejsu administracyjnego i rozważ wyłączenie nieograniczonego wykonywania poleceń.
Inne podatności w MoviePilot
Zobacz wszystkie- CVE-2026-16224Średnie
W aplikacji MoviePilot do wersji 2.13.5 wykryto podatność w nieznanej funkcji pliku /jxxghp/MoviePilot w komponencie Application API. Problem polega na nieprawidłowej autoryzacji, co umożliwia zdalne wykorzystanie luki.
- CVE-2026-11416Wysokie
MoviePilot zawiera podatność na path traversal w modułach pobierania z chmury AliPan, U115 i Rclone. Lokalna ścieżka docelowa jest tworzona przez konkatenację skonfigurowanego katalogu pobierania z nazwą pliku pochodzącą z metadanych zdalnego API chmury, bez normalizacji nazwy pliku ani walidacji ścieżki. Atakujący kontrolujący nazwę pliku zwracaną przez API może użyć sekwencji ../ do zapisu poza skonfigurowany katalog, potencjalnie nadpisując dowolne pliki, w tym konfiguracyjne lub wtyczek.
- CVE-2026-10107Wysokie
MoviePilot v2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym proxy obrazów. Uwierzytelniony atakujący może wysyłać żądania do dowolnych adresów URL, podając ciasteczko resource_token i URL, którego domena pasuje do skonfigurowanej listy dozwolonych domen.
Oryginalny opis (angielski, źródło NVD)
MoviePilot through 3.1.5 contains a command injection vulnerability that allows attackers to execute arbitrary OS commands by embedding malicious instructions in untrusted content processed through tools like browse_webpage, search_web, and torrent metadata parsers, which then get passed to the unrestricted ExecuteCommandTool via asyncio.create_subprocess_shell. Attackers can craft content that instructs the model to invoke execute_command with confirm_dangerous set to true, bypassing the validate_command_safety denylist and exploiting the admin session's is_admin context to achieve remote code execution on the host.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS