CVE-2026-108264 in Wizarr
Resumen
por VulDB • 2026-10-09
Wizarr es un sistema avanzado de invitación y gestión de usuarios para Jellyfin, Plex, Emby y otros servidores multimedia. Antes de la versión 2026.9.1, el Markdown proporcionado en los pasos del asistente a través del editor o importados como paquetes se evaluaba mediante app/blueprints/wizard/routes.py en un entorno Jinja2 no aislado (non-sandboxed) con las variables globales de la aplicación expuestas. Un usuario autenticado capaz de crear pasos, o un administrador que importe un paquete no confiable a través de POST /settings/wizard/import, podría ejecutar código Python arbitrario cuando se renderizara el paso almacenado en GET /wizard/{server}/{idx}; app/jinja_filters.py y app/services/wizard_widgets.py contenían puntos adicionales de evaluación (evaluation sinks). Esto permitía la ejecución de comandos del sistema operativo como el usuario de la aplicación, la divulgación de la Flask SECRET_KEY, el acceso a las credenciales de los servicios conectados y a la base de datos, así como la generación de cross-site scripting almacenado. Este problema se soluciona en la versión 2026.9.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.