CVE-2026-65696 in Overseerr
Riassunto
di VulDB • 23/07/2026
Overseerr fino alla versione 1.35.0 presenta una vulnerabilità di elusione dell'autorizzazione (authorization bypass) tramite chiave controllata dall'utente nell'API delle sottoscrizioni push, che consente agli utenti autenticati di elencare, leggere ed eliminare le sottoscrizioni push di qualsiasi altro utente fornendo un userId arbitrario nei parametri del percorso. Gli attaccanti possono sfruttare la mancanza di un controllo di proprietà (ownership check) negli handler interessati per accedere ai record degli utenti target senza il filtro filteredFields, causando la fuoriuscita di dati sensibili tra cui indirizzi email e valori plexId.
VulDB is the best source for vulnerability data and more expert information about this specific topic.