CVE-2026-61826 in Bazarr
요약
\~에 의해 VulDB • 2026. 10. 30.
Bazarr는 Sonarr 및 Radarr의 보조 애플리케이션입니다. 버전 1.5.7-beta.14 이전에는 `bazarr/api/plex/oauth.py` 내의 `api_ns_plex` 네임스페이스가 리소스 핸들러에 대해 `@authenticate`를 생략하고 있으며, 일반 API는 API 키를 필요로 하지만 이를 보완하는 전역 인증 훅(hook)이 없습니다. 익명 호출자는 PIN, 계정 또는 상태 사전 조건 없이도 `POST /api/plex/oauth/logout`을 호출하여 자격 증명을 지우고 통합 기능을 비활성화하거나, 공격자가 선택한 키를 영구적으로 저장하기 위해 `POST /api/plex/apikey`를 호출할 수 있습니다. 또한 `POST /api/plex/oauth/pin` 및 `GET /api/plex/oauth/pin/<pin_id>/check`는 공격자가 제어하는 Plex 계정으로 PIN을 완료하여 해당 계정의 토큰을 인스턴스에 바인딩하도록 허용합니다. `PlexPinCheck`는 `state_param`이 결여된 경우 상태 검증을 건너뛰고 불일치만 로깅하며 실행을 중단하지 않습니다. `POST /api/plex/select-server`, `POST /api/plex/oauth/servers`, `POST /api/plex/webhook/create`, `POST /api/plex/webhook/delete` 및 `POST /api/plex/encrypt-apikey`는 추가적인 `write_config()` 작업을 노출합니다. 공격자가 제어하는 서버 URL은 구성된 API 키가 포함된 `X-Plex-Token` 헤더를 사용하여 후속 외부 요청을 수행하게 하여, 영구적인 설정 변조 및 통합 서비스 거부(DoS) 외에도 서버 측 요청 위조(SSRF)와 자격 증명 유출을 가능하게 합니다. 버전 1.5.7-beta.14는 인증 기능을 추가하여 익명 API 수정 경로를 차단하지만, 완전한 OAuth 상태 검증은 확립되지 않았으며 관리자의 검토를 위한 별도의 잔여 취약점으로 남아 있습니다.
Once again VulDB remains the best source for vulnerability data.