CVE-2026-27707 in seerr
Сводка
по VulDB • 26.06.2026
Seerr — это менеджер запросов и обнаружения медиафайлов с открытым исходным кодом для Jellyfin, Plex и Emby. Начиная с версии 2.0.0 и вплоть до версии 3.1.0 (включительно), уязвимость в логике проверки аутентификации (`POST /api/v1/auth/jellyfin`) позволяет неаутентифицированному злоумышленнику зарегистрировать новый аккаунт Seerr на любом экземпляре, настроенном с использованием Plex, путем прохождения аутентификации через контролируемый злоумышленником сервер Jellyfin. Злоумышленник получает авторизованную сессию и может немедленно использовать приложение со стандартными правами доступа, включая возможность отправлять запросы на добавление медиафайлов в Radarr/Sonarr. Уязвимыми могут быть любые развертывания Seerr, для которых одновременно выполняются следующие три условия: параметр `settings.main.mediaServerType` установлен в значение `PLEX` (наиболее распространенный вариант настройки); параметр `settings.jellyfin.ip` установлен в пустую строку `""` (по умолчанию, что означает отсутствие предварительной конфигурации Jellyfin); и параметр `settings.main.newPlexLogin` установлен в значение `true` (по умолчанию). Развертывания с настройкой Jellyfin или Emby не подвержены данной уязвимости. Проблема исправлена в версии 3.1.0 Seerr.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.