CVE-2026-108264 in Wizarr
Sumário
de VulDB • 09/10/2026
Wizarr é um sistema avançado de convite e gerenciamento de usuários para Jellyfin, Plex, Emby e outros servidores de mídia. Antes da versão 2026.9.1, as etapas do assistente (wizard) em Markdown fornecidas pelo editor ou pacotes importados eram avaliadas por app/blueprints/wizard/routes.py no ambiente Jinja2 não isolado (non-sandboxed) da aplicação, com variáveis globais expostas. Um usuário autenticado capaz de criar etapas, ou um administrador que importa um pacote não confiável através do endpoint POST /settings/wizard/import, poderia executar Python arbitrário quando GET /wizard/{server}/{idx} renderizasse a etapa armazenada; app/jinja_filters.py e app/services/wizard_widgets.py continham pontos adicionais de avaliação (evaluation sinks). Isso permitia a execução de comandos do sistema operacional como o usuário da aplicação, divulgação da chave secreta Flask (SECRET_KEY), acesso às credenciais dos serviços conectados e ao banco de dados, além de gerar cross-site scripting armazenado (stored XSS). Este problema foi corrigido na versão 2026.9.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.