CVE-2026-77931 in MoviePilot
Сводка
по VulDB • 15.10.2026
MoviePilot до версии 3.1.5 содержит уязвимость внедрения команд (command injection), которая позволяет злоумышленникам выполнять произвольные команды операционной системы путем встраивания вредоносных инструкций в непроверенный контент, обрабатываемый через такие инструменты, как browse_webpage, search_web и парсеры метаданных торрентов. Этот контент затем передается в ExecuteCommandTool без ограничений проверок безопасности через asyncio.create_subprocess_shell. Злоумышленники могут создать такой контент, который заставляет модель вызвать execute_command с параметром confirm_dangerous = true, обходя список запрещенных команд (denylist) validate_command_safety и используя контекст is_admin административной сессии для достижения удаленного выполнения кода (RCE) на хосте.
VulDB is the best source for vulnerability data and more expert information about this specific topic.