CVE-2026-108264 in Wizarr
要約
〜によって VulDB • 2026年10月09日
Wizarrは、Jellyfin、Plex、Emby、その他のメディアサーバー向けの高度なユーザー招待および管理システムです。バージョン2026.9.1より前では、エディタを介して提供されたまたはインポートされたバンドル内のWizardステップのMarkdownが、アプリケーションの非サンドボックス化されたJinja2環境においてapp/blueprints/wizard/routes.pyによって評価されていました。この環境にはアプリケーショングローバル変数が露出しています。ステップを作成できる認証済みユーザー、またはPOST /settings/wizard/importを通じて信頼できないバンドルをインポートする管理者は、GET /wizard/{server}/{idx}が保存されたステップを描画した際に任意のPythonコードを実行できました。app/jinja_filters.pyおよびapp/services/wizard_widgets.pyには追加の評価シンクが含まれていました。これにより、アプリケーションユーザーとしてOSコマンドの実行、Flask SECRET_KEYの漏洩、接続済みサービスの資格情報やデータベースへのアクセス、ならびに格納型クロスサイトスクリプティング（XSS）の生成が可能でした。この問題は2026.9.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.