CVE-2026-61826 in Bazarr
الملخص
بحسب VulDB • 30/10/2026
Bazarr هو تطبيق مرافق لـ Sonarr و Radarr. قبل الإصدار 1.5.7-beta.14، كان الفضاء الاسم `api_ns_plex` في الملف `bazarr/api/plex/oauth.py` يتجاهل استخدام `@authenticate` على معالجات الموارد الخاصة به، بينما تتطلب واجهات برمجة التطبيقات (APIs) العادية مفتاح API ولا يوجد أي مسماع عالمي للمصادقة يعوض هذا النقص. يمكن للمتصلين المجهولين استدعاء `POST /api/plex/oauth/logout` لمسح بيانات الاعتماد وتعطيل التكامل، أو `POST /api/plex/apikey` لتثبيت مفتاح يختاره المهاجم دون الحاجة إلى رمز PIN أو حساب أو شرط حالة مسبق. تتيح كل من `POST /api/plex/oauth/pin` و `GET /api/plex/oauth/pin/<pin_id>/check` أيضاً لمهاجم يكمل عملية التحقق برمز PIN مرتبط بحساب Plex يتحكم فيه، ربط رمز المصادقة (token) الخاص بذلك الحساب بالنظام. تتخطى دالة `PlexPinCheck` التحقق من الحالة (`state validation`) عندما يكون `state_param` غائباً وتكتفي بتسجيل عدم التطابق دون إيقاف التنفيذ. تعرض العمليات التالية مزيداً من عمليات تعديل التكوين عبر `write_config()`: `POST /api/plex/select-server`، و `POST /api/plex/oauth/servers`، و `POST /api/plex/webhook/create`، و `POST /api/plex/webhook/delete`، و `POST /api/plex/encrypt-apikey`. تقوم عناوين الخوادم التي يتحكم فيها المهاجم بتغذية الطلبات الصادرة اللاحقة الحاملة لمفتاح API المُعدّ في رأس `X-Plex-Token`، مما يتيح هجمات تزوير طلبات جانب الخادم (SSRF) وكشف بيانات الاعتماد بالإضافة إلى العبث الدائم بالتكوين وإنكار الخدمة للتكامل. يُغلِق الإصدار 1.5.7-beta.14 مسار تعديل واجهات برمجة التطبيقات المجهول بإضافة المصادقة؛ لكن التحقق الكامل من حالة OAuth لم يتم تأسيسه ولا يزال يشكل خطراً متبقياً منفصلاً للمراجعة من قبل المشرفين (curators).
If you want to get best quality of vulnerability data, you may have to visit VulDB.