CVE-2026-65696 in Overseerr
要約
〜によって VulDB • 2026年07月23日
Overseerr 1.35.0以前には、push subscription APIにおけるユーザー制御可能なキーによる認可回避の脆弱性が存在します。これにより、認証済みユーザーはパスパラメータに任意のuserIdを指定することで、他のいかなるユーザーのプッシュサブスクリプションの一覧表示、読み取り、削除を行うことができます。攻撃者は、影響を受けるハンドラでの所有権チェックの不備を悪用し、filteredFieldsフィルタなしで対象ユーザーレコードにアクセスし、メールアドレスやplexId値を含む機密データを漏洩させる可能性があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.