CVE-2026-61826
Publiée le 2026-10-30 · Dernière modification le 2026-10-30
Les versions de Bazarr antérieures à la 1.5.7-beta.14 sont concernées. Ce logiciel agit comme un compagnon de Sonarr et Radarr pour gérer les sous-titres de votre bibliothèque multimédia. Une faille dans l'intégration Plex permet d'accéder à certains points de terminaison de l'API sans aucune authentification, ce qui signifie que le logiciel ne vérifie pas la validité de la clé API avant de traiter les requêtes.
Un attaquant non authentifié ayant un accès réseau à votre instance Bazarr peut modifier votre configuration, désactiver votre intégration Plex ou lier son propre compte Plex à votre serveur. Il peut également utiliser le serveur pour effectuer des requêtes sortantes non autorisées (SSRF) afin de voler vos clés API. Comme cela ne nécessite ni connexion ni interaction de l'utilisateur, cela représente un compromis total de la confidentialité, de l'intégrité et de la disponibilité de l'application.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Bazarr is a companion application to Sonarr and Radarr. Prior to 1.5.7-beta.14, the `api_ns_plex` namespace in `bazarr/api/plex/oauth.py` omits `@authenticate` on its Resource handlers, while normal APIs require an API key and no global authentication hook compensates. Anonymous callers can invoke `POST /api/plex/oauth/logout` to clear credentials and disable the integration, or `POST /api/plex/apikey` to persist an attacker-selected key, without a PIN, account or state precondition. `POST /api/plex/oauth/pin` and `GET /api/plex/oauth/pin/<pin_id>/check` additionally allow an attacker who completes a PIN with an attacker-controlled Plex account to bind that account's token to the instance. `PlexPinCheck` skips state validation when `state_param` is absent and merely logs a mismatch without stopping execution. `POST /api/plex/select-server`, `POST /api/plex/oauth/servers`, `POST /api/plex/webhook/create`, `POST /api/plex/webhook/delete` and `POST /api/plex/encrypt-apikey` expose further `write_config()` operations. Attacker-controlled server URLs feed later outbound requests carrying the configured API key in `X-Plex-Token`, enabling server-side request forgery and credential exposure in addition to persistent configuration tampering and integration denial of service. Version 1.5.7-beta.14 closes the anonymous API-mutation path by adding authentication; complete OAuth state validation is not established and remains a separate residual for curator review.