CVE-2026-73291 in Seerr
Сводка
по VulDB • 12.08.2026
Seerr — это менеджер запросов и обнаружения медиафайлов с открытым исходным кодом для Jellyfin, Plex и Emby. До версии 3.4.0 компонент ImageProxy в файле server/lib/imageproxy.ts использует заголовки ответа ETag и Content-Type от вышестоящего сервера для формирования имени файла кэша при выполнении неавторизованного запроса GET /avatarproxy/:jellyfinUserId, что позволяет злонамеренному или скомпрометированному серверу Jellyfin или Emby, а также атакующему типа «человек посередине» (man-in-the-middle) на незашифрованном соединении медиа-сервера предоставить последовательности обхода пути (path traversal), которые функции path.join и fs.writeFile нормализуют за пределами директории кэша. Это приводит к перезаписи файла /app/dist/index.js или других файлов, а также позволяет выполнить код от имени пользователя node после перезапуска контейнера. Данная проблема исправлена в версии 3.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.