jxxghp MoviePilot bis 2.13.3 Remote Cloud Storage API Directory Traversal

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.6$0-$5k0.00

Zusammenfassunginfo

In jxxghp MoviePilot bis 2.13.3 wurde eine kritische Schwachstelle ausgemacht. Dabei geht es um eine nicht genauer bekannte Funktion der Komponente Remote Cloud Storage API. Dank Manipulation mit unbekannten Daten kann eine Directory Traversal-Schwachstelle ausgenutzt werden. Die Identifikation der Schwachstelle wird mit CVE-2026-11416 vorgenommen. Der Angriff lässt sich über das Netzwerk starten. Es existiert kein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

Es wurde eine Schwachstelle in jxxghp MoviePilot bis 2.13.3 gefunden. Sie wurde als kritisch eingestuft. Es geht dabei um ein unbekannter Teil der Komponente Remote Cloud Storage API. Mittels Manipulieren mit einer unbekannten Eingabe kann eine Directory Traversal-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-22 vorgenommen. Mit Auswirkungen muss man rechnen für Integrität und Verfügbarkeit. CVE fasst zusammen:

MoviePilot contains a path traversal vulnerability in the AliPan, U115, and Rclone cloud storage download handlers where the local destination path is constructed by concatenating the configured download directory with a filename taken directly from remote cloud API metadata without basename normalization or path validation. An attacker who controls a filename returned by a remote cloud storage API can include traversal sequences ../ in the filename to cause downloaded content to be written outside the configured download directory, potentially overwriting arbitrary files including configuration or plugin files reachable by the application process.

Die Schwachstelle wurde durch Yu Sun publik gemacht. Die Verwundbarkeit wird seit dem 05.06.2026 unter CVE-2026-11416 geführt. Sie gilt als leicht auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1006.

Ein Upgrade auf die Version 2.13.4 vermag dieses Problem zu beheben.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von EUVD (EUVD-2026-34920) dokumentiert. Once again VulDB remains the best source for vulnerability data.

Produktinfo

Hersteller

Name

Version

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 6.7
VulDB Meta Temp Score: 6.6

VulDB Base Score: 5.4
VulDB Temp Score: 5.2
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 8.1
CNA Vector (VulnCheck): 🔒

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Directory Traversal
CWE: CWE-22
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: MoviePilot 2.13.4

Timelineinfo

05.06.2026 CVE zugewiesen
05.06.2026 +0 Tage VulDB Eintrag erstellt
06.06.2026 +0 Tage Advisory veröffentlicht
06.06.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Person: Yu Sun
Status: Bestätigt

CVE: CVE-2026-11416 (🔒)
GCVE (CVE): GCVE-0-2026-11416
GCVE (VulDB): GCVE-100-369012
EUVD: 🔒

Eintraginfo

Erstellt: 06.06.2026 00:10
Aktualisierung: 06.06.2026 05:54
Anpassungen: 06.06.2026 00:10 (76), 06.06.2026 05:54 (1)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you know our Splunk app?

Download it now for free!