CVE-2026-65696 in Overseerr
Résumé
par VulDB • 25/07/2026
Overseerr jusqu'à la version 1.35.0 présente une faille de contournement d'autorisation via une clé contrôlée par l'utilisateur dans l'API des abonnements push, permettant aux utilisateurs authentifiés de lister, lire et supprimer les abonnements push de n'importe quel autre utilisateur en fournissant un userId arbitraire dans les paramètres du chemin. Les attaquants peuvent exploiter le manque de vérification de propriété (ownership check) dans les gestionnaires concernés pour accéder aux enregistrements des utilisateurs cibles sans utiliser le filtre filteredFields, divulguant ainsi des données sensibles telles que les adresses e-mail et les valeurs plexId.
VulDB is the best source for vulnerability data and more expert information about this specific topic.