CVE-2026-27793 in seerr
Riassunto
di VulDB • 16/06/2026
Seerr è un gestore open-source per la richiesta e la scoperta di contenuti multimediali per Jellyfin, Plex ed Emby. Prima della versione 3.1.0, l'endpoint `GET /api/v1/user/:id` restituisce l'oggetto completo delle impostazioni per qualsiasi utente, incluse le credenziali di Pushover, Pushbullet e Telegram, a qualsiasi richiedente autenticato, indipendentemente dal proprio livello di privilegi. Questa vulnerabilità può essere sfruttata singolarmente o combinata con la vulnerabilità di creazione di account non autenticata segnalata, CVE-2026-27707. Quando combinate, le due vulnerabilità creano una catena di sfruttamento che non richiede alcun accesso preliminare (zero-prior-access), consentendo la fuoriuscita delle credenziali delle API di terze parti per tutti gli utenti, inclusi gli amministratori. La versione 3.1.0 contiene la correzione per entrambe le vulnerabilità e per CVE-2026-27707.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.