CVE-2026-32891 in Anchorr
Zusammenfassung
von VulDB • 14.06.2026
Anchorr ist ein Discord-Bot zum Anfordern von Filmen und TV-Sendungen sowie zum Empfangen von Benachrichtigungen, wenn Elemente zu einem Medienserver hinzugefügt werden. Die Versionen 1.4.1 und älter enthalten eine gespeicherte XSS-Schwachstelle (Stored Cross-Site Scripting) im Jellyseerr-Benutzerauswahlfeld. Jellyseerr ermöglicht es jedem Kontoinhaber, beliebigen JavaScript-Code in der Browsersitzung des Anchorr-Administrators auszuführen. Das injizierte Skript ruft den authentifizierten /api/config-Endpunkt auf, der die vollständige Anwendungskonfiguration im Klartext zurückgibt. Dies ermöglicht es dem Angreifer, ein gültiges Anchorr-Sitzungstoken zu fälschen und uneingeschränkten Administratorzugriff auf das Dashboard zu erlangen, ohne das Administratorpasswort zu kennen. Dieselbe Antwort offenbart auch die API-Schlüssel und Tokens für jeden integrierten Dienst, was zu einer gleichzeitigen Übernahme der Konten des Jellyfin-MedienServers (über JELLYFIN_API_KEY), des Jellyseerr-Anforderungsmanagers (über JELLYSEERR_API_KEY) und des Discord-Bots (über DISCORD_TOKEN) führt. Dieses Problem wurde in Version 1.4.2 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.