CVSS 9.0 以上
CVE-2026-61826
要約
Bazarr の 1.5.7-beta.14 より前のバージョンでは、`bazarr/api/plex/oauth.py` の `api_ns_plex` 名前空間のリソースハンドラに `@authenticate` がなく、認証なしの呼び出し元が Plex 連携の資格情報の消去や無効化、攻撃者が選んだ API キーの保存、設定を書き換える操作を実行できるとされています。また、攻撃者が管理する Plex アカウントのトークンをインスタンスに紐付けられること、攻撃者が指定したサーバー URL への送信リクエストに `X-Plex-Token` として API キーが付与され、サーバーサイドリクエストフォージェリや資格情報の露出が起こり得ることも記載されています。バージョン 1.5.7-beta.14 では認証の追加により匿名での API 変更経路が塞がれましたが、OAuth の state 検証が完全であるかは確認されておらず、別の残課題として扱われています。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
BazarrSonarrRadarrPlexOAuth
このタグの新着を RSS で受け取る: Bazarr / Sonarr / Radarr / Plex / OAuth(使い方)
判定の理由
- CVSS 9.0 以上