CVE-2026-61826

Bazarr to aplikacja towarzysząca Sonarrowi i Radarowi. Przed wersją 1.5.7-beta.14 przestrzeń nazw `api_ns_plex` w `bazarr/api/plex/oauth.py` pomija `@authenticate` w swoich procedurach obsługi zasobów, podczas gdy normalne interfejsy API wymagają klucza API i nie rekompensuje to żaden hak globalnego uwierzytelniania. Anonimowi dzwoniący mogą wywołać polecenie `POST /api/plex/oauth/logout`, aby wyczyścić dane uwierzytelniające i wyłączyć integrację, lub `POST /api/plex/apikey`, aby zachować klucz wybrany przez atakującego, bez konieczności podawania kodu PIN, konta lub stanu. `POST /api/plex/oauth/pin` i `GET /api/plex/oauth/pin/<pin_id>/check` dodatkowo umożliwiają atakującemu, który uzupełni PIN za pomocą konta Plex kontrolowanego przez osobę atakującą, powiązanie tokena tego konta z instancją. `PlexPinCheck` pomija sprawdzanie stanu, gdy `parametr_stanu` jest nieobecny i jedynie rejestruje niezgodność bez zatrzymywania wykonywania. `POST /api/plex/select-server`, `POST /api/plex/oauth/servers`, `POST /api/plex/webhook/create`, `POST /api/plex/webhook/delete` i `POST /api/plex/encrypt-apikey` ujawniają dalsze operacje `write_config()`. Kontrolowane przez atakującego adresy URL serwerów zasilają późniejsze żądania wychodzące, przenosząc skonfigurowany klucz API w tokenie „X-Plex-Token”, umożliwiając fałszowanie żądań po stronie serwera i ujawnianie poświadczeń, a także trwałe manipulowanie konfiguracją i odmowę usługi integracji. Wersja 1.5.7-beta.14 zamyka anonimową ścieżkę mutacji API poprzez dodanie uwierzytelniania; pełna weryfikacja stanu OAuth nie została ustanowiona i pozostaje odrębną pozostałością do sprawdzenia przez kuratora.