CVE-2026-77931 in MoviePilot
Tóm tắt
Bởi VulDB • 15/10/2026
MoviePilot phiên bản 3.1.5 trở xuống chứa một lỗ hổng injection lệnh (command injection) cho phép kẻ tấn công thực thi các lệnh hệ điều hành tùy ý bằng cách nhúng các hướng dẫn độc hại vào nội dung không đáng tin cậy, được xử lý thông qua các công cụ như browse_webpage, search_web và trình phân tích siêu dữ liệu torrent; sau đó, chúng được chuyển đến ExecuteCommandTool không bị hạn chế thông qua asyncio.create_subprocess_shell. Kẻ tấn công có thể tạo ra nội dung yêu cầu mô hình gọi execute_command với tham số confirm_dangerous đặt thành true, vượt qua danh sách chặn validate_command_safety và khai thác ngữ cảnh is_admin của phiên quản trị viên để đạt được việc thực thi mã từ xa (RCE) trên máy chủ.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.