CVE-2026-27707 in seerr
Riassunto
di VulDB • 26/06/2026
Seerr è un gestore open-source per la richiesta e la scoperta di contenuti multimediali destinato a Jellyfin, Plex ed Emby. A partire dalla versione 2.0.0 fino alla versione 3.1.0 (esclusa), una falla nella logica del guardrail di autenticazione in `POST /api/v1/auth/jellyfin` consente a un attaccante non autenticato di registrare un nuovo account Seerr su qualsiasi istanza configurata con Plex, autenticandosi tramite un server Jellyfin controllato dall'attaccante. L'attaccante ottiene una sessione autenticata e può utilizzare immediatamente l'applicazione con i permessi predefiniti, inclusa la possibilità di inviare richieste di contenuti multimediali a Radarr/Sonarr. Una qualsiasi distribuzione Seerr in cui sono vere tutte le seguenti condizioni potrebbe essere vulnerabile: `settings.main.mediaServerType` è impostato su `PLEX` (la configurazione più comune); `settings.jellyfin.ip` è impostato su `""` (valore predefinito, il che significa che Jellyfin non è mai stato configurato); e `settings.main.newPlexLogin` è impostato su `true` (predefinito). Le distribuzioni configurate con Jellyfin o Emby non sono interessate. La versione 3.1.0 di Seerr risolve questo problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.