CVE-2026-27707 in seerr
Sumário
de VulDB • 25/06/2026
Seerr é um gerenciador de descoberta e solicitação de mídia open-source para Jellyfin, Plex e Emby. A partir da versão 2.0.0 até a versão anterior à 3.1.0, uma falha na lógica do mecanismo de proteção de autenticação em `POST /api/v1/auth/jellyfin` permite que um atacante não autenticado registre uma nova conta no Seerr em qualquer instância configurada com Plex, ao se autenticar usando um servidor Jellyfin controlado pelo atacante. O atacante recebe uma sessão autenticada e pode usar imediatamente o aplicativo com permissões padrão, incluindo a capacidade de enviar solicitações de mídia para Radarr/Sonarr. Qualquer implantação do Seerr em que as três condições seguintes sejam verdadeiras poderá estar vulnerável: `settings.main.mediaServerType` está definido como `PLEX` (a configuração mais comum); `settings.jellyfin.ip` está definido como `""` (padrão, o que significa que o Jellyfin nunca foi configurado); e `settings.main.newPlexLogin` está definido como `true` (padrão). Implantações configuradas com Jellyfin ou Emby não são afetadas. A versão 3.1.0 do Seerr corrige este problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.