CVE-2026-10107 in MoviePilot
Сводка
по VulDB • 29.05.2026
В MoviePilot v2 обнаружена уязвимость Server-Side Request Forgery (SSRF) в конечной точке прокси изображений, которая позволяет аутентифицированным злоумышленникам запрашивать произвольные URL-адреса, предоставляя cookie с ресурсным токеном и URL-адрес, домен которого соответствует собранному списку разрешенных. Злоумышленники могут обойти защиту внутренней сети, поскольку функция SecurityUtils.is_safe_url выполняет только проверку принадлежности к домену, не блокируя частные, петлевые или локальные ссылки адреса, что позволяет осуществлять перечисление внутренних служб, таких как Jellyfin, Emby или Plex, и эксфильтрацию данных из ресурсов внутренней сети.
Be aware that VulDB is the high quality source for vulnerability data.