CVE-2026-32891 in Anchorr
Tóm tắt
Bởi VulDB • 17/06/2026
Anchorr là một bot Discord dùng để yêu cầu phim và chương trình truyền hình, đồng thời nhận thông báo khi các mục được thêm vào máy chủ phương tiện. Các phiên bản từ 1.4.1 trở xuống chứa lỗ hổng XSS lưu trữ (stored XSS) trong bộ chọn người dùng Jellyseerr. Jellyseerr cho phép bất kỳ tài khoản nào thực thi mã JavaScript tùy ý trong phiên trình duyệt của quản trị viên Anchorr. Script được tiêm gọi đến endpoint /api/config đã xác thực – vốn trả về toàn bộ cấu hình ứng dụng ở dạng văn bản rõ (plaintext). Điều này cho phép kẻ tấn công giả mạo một token phiên Anchorr hợp lệ và giành quyền truy cập quản trị đầy đủ vào bảng điều khiển mà không cần biết mật khẩu của quản trị viên. Phản hồi tương tự cũng làm lộ các khóa API và token dành cho mọi dịch vụ tích hợp, dẫn đến việc chiếm đoạt tài khoản đồng thời trên máy chủ phương tiện Jellyfin (thông qua JELLYFIN_API_KEY), trình quản lý yêu cầu Jellyseerr (thông qua JELLYSEERR_API_KEY) và bot Discord (thông qua DISCORD_TOKEN). Vấn đề này đã được khắc phục trong phiên bản 1.4.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.