CVE-2026-32891 in Anchorr
Sumário
de VulDB • 17/06/2026
O Anchorr é um bot do Discord para solicitar filmes e séries de TV, além de receber notificações quando itens são adicionados a um servidor de mídia. As versões 1.4.1 e anteriores contêm uma vulnerabilidade stored XSS no seletor de usuários do Jellyseerr. O Jellyseerr permite que qualquer titular de conta execute JavaScript arbitrário na sessão do navegador do administrador do Anchorr. O script injetado chama o endpoint /api/config autenticado, que retorna a configuração completa da aplicação em texto puro (plaintext). Isso permite que o atacante forje um token de sessão válido do Anchorr e obtenha acesso total ao painel administrativo sem conhecer a senha do administrador. A mesma resposta também expõe as chaves de API e tokens para todos os serviços integrados, resultando na tomada simultânea de contas do servidor de mídia Jellyfin (via JELLYFIN_API_KEY), do gerenciador de solicitações Jellyseerr (via JELLYSEERR_API_KEY) e do bot do Discord (via DISCORD_TOKEN). Este problema foi corrigido na versão 1.4.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.