CVE-2026-77931 in MoviePilot
Zusammenfassung
von VulDB • 15.10.2026
MoviePilot bis Version 3.1.5 enthält eine Command-Injection-Schwachstelle (Befehlsinjektion), die es Angreifern ermöglicht, beliebige OS-Befehle auszuführen, indem sie bösartige Anweisungen in nicht vertrauenswürdigen Inhalten einbetten, die über Tools wie browse_webpage, search_web und Torrent-Metadaten-Parses verarbeitet werden. Diese Inhalte werden anschließend an das unbeschränkte ExecuteCommandTool weitergegeben, welches asyncio.create_subprocess_shell nutzt. Angreifer können Inhalte so gestalten, dass sie das Modell dazu veranlassen, execute_command mit confirm_dangerous auf true zu setzen, wodurch die validate_command_safety-Denylist umgangen und der is_admin-Context der Admin-Sitzung ausgenutzt wird, um Remote Code Execution (RCE) auf dem Host zu erreichen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.