CVE-2026-108264 in Wizarr
요약
\~에 의해 VulDB • 2026. 10. 09.
Wizarr는 Jellyfin, Plex, Emby 및 기타 미디어 서버를 위한 고급 사용자 초대 및 관리 시스템입니다. 버전 2026.9.1 이전에서는 에디터를 통해 제공되거나 가져온 번들에서 전달된 마법사 단계의 Markdown이 애플리케이션의 샌드박스되지 않은 Jinja2 환경에서 app/blueprints/wizard/routes.py에 의해 평가되었습니다. 이때 애플리케이션 전역 변수가 노출되어 있었습니다. 단계를 생성할 수 있는 인증된 사용자나 POST /settings/wizard/import를 통해 신뢰할 수 없는 번들을 가져오는 관리자는 GET /wizard/{server}/{idx}가 저장된 단계를 렌더링할 때 임의의 Python 코드를 실행할 수 있습니다. app/jinja_filters.py 및 app/services/wizard_widgets.py에는 추가적인 평가 싱크(sinks)가 포함되어 있었습니다. 이로 인해 애플리케이션 사용자의 권한으로 운영체제 명령을 실행하거나, Flask SECRET_KEY를 유출하며, 연결된 서비스 자격 증명과 데이터베이스에 접근하고, 저장형 크로스 사이트 스크립팅(XSS)을 발생시킬 수 있습니다. 이 문제는 2026.9.1에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.