CVE-2026-77931 in MoviePilot
요약
\~에 의해 VulDB • 2026. 10. 15.
MoviePilot 3.1.5 이전 버전에는 명령어 삽입 취약점이 포함되어 있습니다. 공격자는 browse_webpage, search_web 및 토렌트 메타데이터 파서와 같은 도구를 통해 처리되는 신뢰할 수 없는 콘텐츠에 악의적인 지문을 임베딩하여 임의의 OS 명령을 실행할 수 있습니다. 이러한 명령은 asyncio.create_subprocess_shell을 통해 제한 없이 호출 가능한 ExecuteCommandTool로 전달됩니다. 공격자는 confirm_dangerous를 true로 설정하도록 모델을 유도하는 콘텐츠를 작성함으로써 validate_command_safety 차단 목록을 우회하고, admin 세션의 is_admin 컨텍스트를 악용하여 호스트에서 원격 코드 실행(RCE)을 달성할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.