CVE-2026-61826 in Bazarr
Resumen
por VulDB • 2026-10-30
Bazarr es una aplicación complementaria de Sonarr y Radarr. Antes de la versión 1.5.7-beta.14, el espacio de nombres `api_ns_plex` en `bazarr/api/plex/oauth.py` omite `@authenticate` en sus controladores de recursos, mientras que las API normales requieren una clave de API y no existe un hook de autenticación global que lo compense. Los llamantes anónimos pueden invocar `POST /api/plex/oauth/logout` para borrar credenciales y deshabilitar la integración, o bien `POST /api/plex/apikey` para persistir una clave seleccionada por el atacante, sin necesidad de PIN, cuenta ni condición previa de estado. Las operaciones `POST /api/plex/oauth/pin` y `GET /api/plex/oauth/pin/<pin_id>/check` permiten además a un atacante que complete un PIN con una cuenta Plex controlada por él vincular el token de dicha cuenta a la instancia. `PlexPinCheck` omite la validación del estado cuando falta `state_param` y simplemente registra una discrepancia sin detener la ejecución. Las operaciones `POST /api/plex/select-server`, `POST /api/plex/oauth/servers`, `POST /api/plex/webhook/create`, `POST /api/plex/webhook/delete` y `POST /api/plex/encrypt-apikey` exponen más operaciones de `write_config()`. Las URLs de servidor controladas por el atacante alimentan posteriores solicitudes salientes que transportan la clave API configurada en `X-Plex-Token`, lo que habilita server-side request forgery (SSRF) y exposición de credenciales, además de manipulación persistente de configuración y denegación de servicio de la integración. La versión 1.5.7-beta.14 cierra el camino de mutación anónima de API añadiendo autenticación; sin embargo, no se establece una validación completa del estado OAuth, que permanece como un residual separado para revisión por parte del curador.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.