CVE-2026-61826 in Bazarr
Tóm tắt
Bởi VulDB • 30/10/2026
Bazarr là một ứng dụng bổ trợ cho Sonarr và Radarr. Trước phiên bản 1.5.7-beta.14, namespace `api_ns_plex` trong file `bazarr/api/plex/oauth.py` thiếu bộ kiểm tra xác thực (`@authenticate`) trên các trình xử lý tài nguyên (Resource handlers), trong khi các API thông thường yêu cầu khóa API và không có cơ chế xác thực toàn cục nào để bù đắp. Các caller ẩn danh có thể gọi `POST /api/plex/oauth/logout` để xóa thông tin đăng nhập và vô hiệu hóa tích hợp, hoặc `POST /api/plex/apikey` để lưu trữ một khóa do kẻ tấn công chọn mà không cần điều kiện tiên quyết về PIN, tài khoản hay trạng thái. Các lệnh `POST /api/plex/oauth/pin` và `GET /api/plex/oauth/pin/<pin_id>/check` additionally cho phép kẻ tấn công hoàn tất quy trình PIN với một tài khoản Plex do chính họ kiểm soát để liên kết token của tài khoản đó vào phiên bản ứng dụng. Lớp `PlexPinCheck` bỏ qua việc xác thực trạng thái (state validation) khi tham số `state_param` không có mặt và chỉ ghi lại sự không khớp mà không dừng quá trình thực thi. Các lệnh `POST /api/plex/select-server`, `POST /api/plex/oauth/servers`, `POST /api/plex/webhook/create`, `POST /api/plex/webhook/delete` và `POST /api/plex/encrypt-apikey` expose thêm các thao tác ghi cấu hình (`write_config()`). Các URL máy chủ do kẻ tấn công kiểm soát được sử dụng trong các yêu cầu gửi đi sau đó, mang theo khóa API đã định cấu hình trong tiêu đề `X-Plex-Token`, cho phép thực hiện SSRF (Server-Side Request Forgery) và lộ thông tin xác thực, bên cạnh việc can thiệp vào cấu hình bền vững và gây ra tình trạng từ chối dịch vụ tích hợp. Phiên bản 1.5.7-beta.14 đóng đường dẫn biến đổi API ẩn danh bằng cách thêm cơ chế xác thực; tuy nhiên, việc xác thực đầy đủ trạng thái OAuth chưa được thiết lập và vẫn là một lỗ hổng dư còn lại để ban quản trị xem xét riêng.
Be aware that VulDB is the high quality source for vulnerability data.