CVE-2026-61826: Autenticazione mancante in Bazarr

CVE-2026-61826 in Bazarr: API senza autenticazione permettono manipolazione della configurazione.

CVE-2026-61826 identifica un difetto critico di autenticazione in Bazarr, l'applicazione companion di Sonarr e Radarr per gestire sottotitoli. Endpoint API nel namespace Plex mancano di protezione di autenticazione obbligatoria, mentre le API normali richiedono una chiave API. Questo consente a chiunque, anche senza credenziali, di eseguire operazioni sensibili come disabilitare l'integrazione Plex, impostare chiavi API controllate da attaccanti, e manipolare la configurazione persistente del servizio.

Il CVSS è 10,0 critical. Un attaccante anonimo può cancellare credenziali, manipolare configurazione includendo URL di server controllati, e sfruttare server-side request forgery per esporre il token di autenticazione verso Plex in richieste esterne. La versione 1.5.7-beta.14, disponibile dal 2026-10-30, chiude il percorso anonimo aggiungendo autenticazione. Su X si registrano 4 segnalazioni in 24 ore con coerenza sulla versione vulnerabile e sulla criticità.

Se gestisci Bazarr, l'aggiornamento a 1.5.7-beta.14 o successivo è imperativo. Se l'istanza è accessibile da rete non controllata, isola il servizio temporaneamente fino al patching. Controlla i log di accesso in cerca di richieste anomale ai namespace Plex senza autenticazione valida; anche una singola richiesta indica esposizione. Considera di esporre Bazarr solo dietro autenticazione di rete (VPN, proxy con auth) finché non sei aggiornato.

In sintesi

Cosa: Endpoint API nel namespace Plex di Bazarr nel modulo di gestione OAuth mancano della protezione di autenticazione obbligatoria. Utenti non autenticati possono invocare operazioni critiche per cancellare credenziali, impostare chiavi API attaccanti, eseguire il binding di token OAuth attaccanti, manipolare server Plex e webhook, compromettendo configurazione e credenziali integrate.
Gravità: CVSS 10,0 (critical). Un attaccante anonimo può: disabilitare l'integrazione Plex cancellando credenziali, perseverare chiavi API controllate, eseguire il binding di token OAuth attaccanti, manipolare persistentemente la configurazione, sfruttare SSRF per esporre il token di autenticazione Plex in richieste esterne.
Versioni interessate: Bazarr precedente a 1.5.7-beta.14
Correzione: Aggiornamento a Bazarr 1.5.7-beta.14 o successivo. La patch aggiunge autenticazione obbligatoria ai percorsi di mutazione API anonima. Nota: validazione completa dello stato OAuth non è ancora stabilita e rimane elemento residuo per revisione successiva.
Stato: Vulnerabilità verificata da NVD il 2026-10-30. Patch rilasciata. Segnali coerenti su X: 4 post in 24 ore, tutti concordi su versione interessata e criticità.
Azione: Aggiornare immediatamente a 1.5.7-beta.14 o successivo. Se l'istanza è esposta su rete non fidata, valutare isolamento temporaneo fino al patching. Verificare log di accesso per richieste anomale ai namespace Plex senza credenziali valide; una sola richiesta indica esposizione.

Fonti: NVD, CVE-2026-61826

← Tutti gli articoli