CVE-2026-61826
Bazarr: Plex OAuth API namespace is entirely unauthenticated, allowing config tampering, integration takeover and server-side request…
CVSS 3.1Medium
10.0/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновить Bazarr до версии 1.5.7-beta.14 или выше. Ограничить сетевой доступ к веб-интерфейсу и API Bazarr только доверенными IP-адресами.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Полное отсутствие аутентификации в пространстве API Plex OAuth приложения Bazarr. Анонимный сетевой атакующий может перехватить конфигурацию, подменить привязку аккаунта и вызвать SSRF.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Маршруты неймспейса api_ns_plex в bazarr/api/plex/oauth.py не содержат декоратора @authenticate и не проверяют API-ключ. Методы вызывают write_config() и обращаются к внешним URL без проверки сессии и PIN.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Сброс и захват учетной записи Plex, утечка служебного токена X-Plex-Token, DoS интеграции через /logout, принудительное выполнение HTTP-запросов во внутреннюю сеть (SSRF).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/morpheus65535/bazarr/security/advisories/GHSA-fvcv-hh55-x3r4
- github.comhttps://github.com/morpheus65535/bazarr/commit/4bd29252feebd0803e84cc3ce1bdd24c3a076ed4
- github.comhttps://github.com/morpheus65535/bazarr/commit/f9a8a9514944be0e7b826e67cde042cebfe9c97e
- github.comhttps://github.com/morpheus65535/bazarr/tree/v1.5.7-beta.14
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-61826: Bazarr: Plex OAuth API namespace is entirely unauthenticated, allowing config tampering, integration takeover and server-side request…. URL: https://cve.futuretools.ru/cve/CVE-2026-61826
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_61826,
title = {{CVE-2026-61826: Bazarr: Plex OAuth API namespace is entirely unauthenticated, allowing config tampering, integration takeover and server-side request…}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-61826}},
note = {Оперативный инженерный анализ киберугроз}
}