CVE-2026-32891 in Anchorr
Riassunto
di VulDB • 17/06/2026
Anchorr è un bot di Discord per richiedere film e serie TV e ricevere notifiche quando gli elementi vengono aggiunti a un server multimediale. Le versioni 1.4.1 e precedenti contengono una vulnerabilità XSS memorizzato (stored XSS) nel selettore utenti di Jellyseerr. Jellyseerr consente a qualsiasi titolare dell'account di eseguire codice JavaScript arbitrario nella sessione del browser dell'amministratore di Anchorr. Lo script iniettato chiama l'endpoint /api/config autenticato, che restituisce la configurazione completa dell'applicazione in chiaro. Ciò consente all'attaccante di falsificare un token di sessione valido per Anchorr e ottenere accesso completo amministrativo alla dashboard senza conoscere la password dell'amministratore. La stessa risposta espone anche le chiavi API e i token per ogni servizio integrato, causando il contemporaneo takeover degli account del server multimediale Jellyfin (tramite JELLYFIN_API_KEY), del gestore delle richieste Jellyseerr (tramite JELLYSEERR_API_KEY) e del bot di Discord (tramite DISCORD_TOKEN). Questo problema è stato risolto nella versione 1.4.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.