یک نصب Bazarr ممکن است در رابط معمول خود کلید API بخواهد، اما این کنترل در نسخه‌های قدیمی روی مجموعهٔ مسیرهای Plex به‌طور یکسان اعمال نشده است. طبق اطلاعیهٔ پروژه، پیش از نسخهٔ 1.5.7-beta.14 تماس‌گیرندهٔ ناشناس می‌تواند اعتبارنامه‌های اتصال را پاک کند یا کلیدی انتخابی در تنظیمات پایدار بنویسد. نتیجه می‌تواند قطع ارتباط با Plex باشد، حتی اگر مهاجم حساب Plex نداشته باشد. برای پیوند دادن حساب جدید، تکمیل فرایند PIN با حسابی در اختیار مهاجم شرط جداگانه‌ای است.
موضوع به قطع سرویس محدود نمی‌شود. نشانی سروری که از راه تنظیمات تغییر می‌کند، بعداً مقصد درخواست خود برنامه قرار می‌گیرد. اگر Bazarr کلید پیکربندی‌شده را همراه درخواست به آن مقصد بفرستد، گیرنده می‌تواند اعتبارنامه را دریافت کند. بنابراین تیم پاسخ‌گویی باید دو مسیر را کنار هم ببیند: چه کسی از شبکه به رابط Bazarr دسترسی داشته و برنامه پس از تغییر تنظیمات با کدام سرورها تماس گرفته است. سابقهٔ ورود به رابط کاربری به تنهایی برای پاسخ به این پرسش‌ها کافی نیست.
ارزیابی و اقدام عملی
پروژه در نسخهٔ 1.5.7-beta.14 احراز هویت را به مسیر تغییر تنظیمات افزوده است. رکورد رسمی تصریح می‌کند که بررسی کامل پارامتر وضعیت در گردش OAuth موضوع جداگانه‌ای باقی می‌ماند. مدیر استقرار باید نسخهٔ واقعی فرایند فعال و مسیر انتشار مورد استفاده را بررسی کند و تنها به برچسب شناور تصویر کانتینر تکیه نکند. اگر ارتقا نیازمند انتقال به نسخهٔ پیش‌انتشار است، شرایط پشتیبانی و امکان بازیابی تنظیمات را پیش از تغییر با مالک سرویس بررسی کنید.
پس از تغییر، یک درخواست فاقد اعتبار به عملیات مدیریتی باید رد شود و اتصال مجاز به سرور مورد انتظار همچنان کار کند. فهرست سرورهای انتخاب‌شده، وب‌هوک‌ها و حساب پیوندخورده را با وضعیت مورد تأیید مقایسه کنید. در صورت مشاهدهٔ مقصد ناشناس، بازهٔ زمانی تماس‌های خروجی را مشخص کنید، اعتبارنامهٔ در معرض خطر را از مسیر رسمی جایگزین کنید و اتصال را با حساب درست دوباره برقرار کنید. نگهداری تنظیمات و لاگ‌ها پیش از پاک‌سازی، امکان تشخیص یک تغییر عملیاتی عادی از تغییر غیرمجاز را حفظ می‌کند.
امتیاز و منابع
امتیاز پایهٔ ثبت‌شده توسط GitHub_M برابر 10 در CVSS 3.1 است. بردار ارزیابی: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. تاریخ انتشار رکورد ۳۰ اکتبر ۲۰۲۶ است.
- رکورد رسمی برنامهٔ CVE
- دادهٔ رسمی مرجع صادرکننده، GitHub_M
- اطلاعیه یا سند اولیهٔ مرتبط
- اطلاعیه یا سند اولیهٔ مرتبط
تصویر همراه نشان Bazarr برای معرفی محصول یا سازنده است.
