Plattform
nodejs
Komponente
movary
Behoben in
0.71.2
CVE-2026-40350 affects Movary, a self-hosted web application for tracking and rating movies, prior to version 0.71.1. This vulnerability allows authenticated users to bypass authorization checks and create new administrator accounts, potentially granting them full control over the application. The vulnerability stems from a flawed boolean condition in the user-management endpoints. A fix is available in version 0.71.1.
CVE-2026-40350 betrifft Movary, eine selbst gehostete Web-App zum Verfolgen und Bewerten der Filme, die ein Benutzer angesehen hat. Vor Version 0.71.1 kann ein normaler authentifizierter Benutzer auf die Benutzerverwaltungs-Endpunkte (/settings/users) zugreifen und diese verwenden, um alle Benutzer aufzulisten und ein neues Administrator-Konto zu erstellen. Dies liegt daran, dass die Routendefinitionen kein Admin-only-Middleware erzwingen und die Autorisierungsprüfung auf Controller-Ebene eine fehlerhafte boolesche Bedingung verwendet. Infolgedessen kann jeder Benutzer mit einem gültigen Web-Session-Cookie auf Funktionen zugreifen, die für Administratoren bestimmt sind. Dies ermöglicht einem Angreifer, die administrative Kontrolle über die Anwendung zu erlangen, wodurch möglicherweise Benutzerdaten und die Systemintegrität gefährdet werden. Die Auflistung von Benutzern deckt potenzielle Ziele für weitere Angriffe auf, während die Erstellung eines Admin-Kontos vollständigen Zugriff gewährt.
Die Ausnutzung dieser Schwachstelle erfordert, dass ein Angreifer einen gültigen Web-Session-Cookie für einen authentifizierten Benutzer in Movary besitzt. Der Angreifer kann dann auf die Endpunkte /settings/users zugreifen, um alle Benutzer aufzulisten und ein neues Administrator-Konto zu erstellen. Die Komplexität der Ausnutzung ist gering, da keine fortgeschrittenen technischen Fähigkeiten erforderlich sind. Die Wahrscheinlichkeit einer Ausnutzung ist hoch, angesichts der einfachen Zugänglichkeit der Schwachstelle und des Fehlens einer speziellen Authentifizierung über einen gültigen Session-Cookie hinaus. Diese Schwachstelle ist besonders besorgniserregend in Umgebungen, in denen Session-Cookies gemeinsam genutzt oder wiederverwendet werden.
Self-hosted Movary installations are at the highest risk, particularly those with limited security monitoring or outdated configurations. Users who have not implemented strong password policies or multi-factor authentication are also at increased risk, as a compromised user account could be leveraged to exploit this vulnerability.
• nodejs / server:
grep -r 'settings/users' /path/to/movary/routes/*.js | grep -i 'admin'• generic web:
curl -I http://your-movary-instance/settings/users
# Check for 200 OK response, indicating access is not restricteddisclosure
Exploit-Status
EPSS
0.04% (14% Perzentil)
CISA SSVC
CVSS-Vektor
Die Lösung für CVE-2026-40350 ist die Aktualisierung von Movary auf Version 0.71.1 oder höher. Diese Version behebt die Schwachstelle, indem sie korrekt Admin-only-Middleware an den Benutzerverwaltungs-Endpunkten implementiert und die fehlerhafte boolesche Bedingung in der Autorisierungsprüfung auf Controller-Ebene korrigiert. Es wird dringend empfohlen, auf die neueste Version zu aktualisieren, um das Risiko einer Ausnutzung zu mindern. Überprüfen Sie außerdem die Audit-Protokolle auf verdächtige Aktivitäten, die vor der Aktualisierung aufgetreten sein könnten. Stellen Sie sicher, dass alle Administrator-Konten über starke, eindeutige Passwörter verfügen.
Actualice Movary a la versión 0.71.1 o superior para corregir la vulnerabilidad de bypass de autorización. Esta actualización implementa una verificación de autorización adecuada para restringir el acceso a las funciones de administración solo a usuarios con privilegios administrativos.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
Movary ist eine selbst gehostete Web-Anwendung, mit der Benutzer die Filme verfolgen und bewerten können, die sie angesehen haben.
Dieses Update behebt eine Schwachstelle, die es nicht-Administrator-Benutzern ermöglicht, Administrator-Konten zu erstellen, was die Sicherheit der Anwendung gefährden könnte.
Aktualisieren Sie auf Version 0.71.1 oder höher, indem Sie die Update-Anweisungen des Movary-Entwicklers befolgen.
Ändern Sie sofort die Passwörter aller Administrator-Konten, überprüfen Sie die Audit-Protokolle auf verdächtige Aktivitäten und ziehen Sie in Erwägung, die Anwendung aus einer vertrauenswürdigen Quelle neu zu installieren.
Nein, es gibt keine praktikablen Alternativen zum Update. Workarounds wären äußerst komplex und könnten neue Schwachstellen einführen.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.