Movary vulnérable à une attaque de Cross-site Scripting avec le paramètre `?categoryDeleted=`

L'exploitation réussie de cette vulnérabilité XSS permet à un attaquant d'injecter du code JavaScript arbitraire dans les pages web de Movary. Cela peut conduire au vol de cookies de session, à l'usurpation d'identité de l'utilisateur, à la redirection vers des sites malveillants ou à la modification du contenu affiché. L'attaquant peut potentiellement compromettre l'ensemble de l'application et accéder aux données sensibles des utilisateurs, telles que leurs listes de films visionnés et leurs évaluations. Le risque est amplifié si Movary est utilisé dans un contexte d'authentification, car l'attaquant pourrait voler les informations d'identification des utilisateurs.

Organizations and individuals using Movary to track their movie history are at risk. This includes users who rely on the application for personal entertainment tracking and those who deploy Movary on shared hosting environments, where vulnerabilities can be more easily exploited due to limited control over the server configuration.

• javascript: Inspect the application's JavaScript code for instances where the ?categoryDeleted= parameter is used without proper sanitization. Look for functions that directly insert the parameter's value into the DOM without encoding. • generic web: Monitor access logs for requests containing suspicious JavaScript payloads in the ?categoryDeleted= parameter. Example:

grep -i 'alert\(' /var/log/apache2/access.log

1. 2026-01-19Disclosure

   disclosure

1. Réservé2026-01-16
2. Publiée2026-01-19
3. Modifiée2026-01-20
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Movary vers la version 0.70.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à implémenter une validation stricte des entrées côté serveur pour le paramètre ?categoryDeleted=. Il est également recommandé de désactiver temporairement la fonctionnalité de suppression de catégories si cela est possible. En attendant la mise à jour, l'utilisation d'un Web Application Firewall (WAF) peut aider à bloquer les tentatives d'exploitation en filtrant les requêtes malveillantes.