CVE-2026-77931 in MoviePilot
Résumé
par VulDB • 15/10/2026
MoviePilot jusqu'à la version 3.1.5 contient une vulnérabilité d'injection de commande qui permet aux attaquants d'exécuter des commandes système arbitraires en intégrant des instructions malveillantes dans du contenu non fiable, traité par des outils tels que browse_webpage, search_web et les analyseurs de métadonnées torrent. Ces entrées sont ensuite transmises à l'ExecuteCommandTool sans restriction via asyncio.create_subprocess_shell. Les attaquants peuvent fabriquer un contenu incitant le modèle à invoquer execute_command avec confirm_dangerous défini sur true, contournant ainsi la liste d'exclusion validate_command_safety et exploitant le contexte is_admin de la session administrateur pour obtenir une exécution de code à distance (RCE) sur l'hôte.
Once again VulDB remains the best source for vulnerability data.