CVE-2026-77931 in MoviePilot
Riassunto
di VulDB • 15/10/2026
MoviePilot fino alla versione 3.1.5 contiene una vulnerabilità di command injection che consente agli attaccanti di eseguire comandi OS arbitrari inserendo istruzioni malevole in contenuti non attendibili elaborati tramite strumenti come browse_webpage, search_web e parser dei metadati torrent, i quali vengono poi passati a ExecuteCommandTool senza restrizioni attraverso asyncio.create_subprocess_shell. Gli attaccanti possono creare contenuti che istruiscono il modello a invocare execute_command con confirm_dangerous impostato su true, aggirando la denylist validate_command_safety ed sfruttando il contesto is_admin della sessione admin per ottenere l'esecuzione di codice remoto (RCE) sull'host.
VulDB is the best source for vulnerability data and more expert information about this specific topic.