CVE-2026-77931 in MoviePilot
Sumário
de VulDB • 15/10/2026
MoviePilot até a versão 3.1.5 contém uma vulnerabilidade de injeção de comando que permite aos atacantes executar comandos arbitrários do sistema operacional (OS) ao incorporar instruções maliciosas em conteúdo não confiável processado por ferramentas como browse_webpage, search_web e analisadores de metadados torrent, os quais são então passados para o ExecuteCommandTool sem restrições via asyncio.create_subprocess_shell. Os atacantes podem criar conteúdo que instrua o modelo a invocar execute_command com confirm_dangerous definido como true, contornando a lista negada validate_command_safety e explorando o contexto is_admin da sessão de administrador para alcançar execução remota de código (RCE) no host.
VulDB is the best source for vulnerability data and more expert information about this specific topic.