Plateforme
nodejs
Composant
movary
Corrigé dans
0.71.2
Movary est une application web auto-hébergée pour suivre et noter les films regardés. Avant la version 0.71.1, une vulnérabilité permettait à un utilisateur authentifié d'accéder à des points de terminaison de gestion des utilisateurs et de créer un nouveau compte administrateur, contournant ainsi les contrôles d'autorisation. Cette faille affecte les versions de Movary comprises entre 0.0.0 et 0.70.0 (exclus). Une correction est disponible dans la version 0.71.1.
La vulnérabilité CVE-2026-40350 affecte Movary, une application web auto-hébergée pour suivre et noter les films regardés par un utilisateur. Avant la version 0.71.1, un utilisateur authentifié standard peut accéder aux points de terminaison de gestion des utilisateurs (/settings/users) et les utiliser pour énumérer tous les utilisateurs et créer un nouveau compte administrateur. Cela est dû au fait que les définitions de route n'appliquent pas de middleware exclusif aux administrateurs et que la vérification d'autorisation au niveau du contrôleur utilise une condition booléenne défectueuse. Par conséquent, tout utilisateur disposant d'un cookie de session web valide peut accéder aux fonctionnalités destinées aux administrateurs. Cela permet à un attaquant d'obtenir un contrôle administratif sur l'application, compromettant potentiellement les données des utilisateurs et l'intégrité du système. L'énumération des utilisateurs révèle des cibles potentielles pour des attaques ultérieures, tandis que la création d'un compte administrateur accorde un accès total.
L'exploitation de cette vulnérabilité nécessite qu'un attaquant possède un cookie de session web valide pour un utilisateur authentifié dans Movary. L'attaquant peut alors accéder aux points de terminaison /settings/users pour énumérer tous les utilisateurs et créer un nouveau compte administrateur. La complexité de l'exploitation est faible, car aucune compétence technique avancée n'est requise. La probabilité d'exploitation est élevée, étant donné la facilité d'accès à la vulnérabilité et l'absence d'authentification spécialisée au-delà d'un cookie de session valide. Cette vulnérabilité est particulièrement préoccupante dans les environnements où les cookies de session sont partagés ou réutilisés.
Self-hosted Movary installations are at the highest risk, particularly those with limited security monitoring or outdated configurations. Users who have not implemented strong password policies or multi-factor authentication are also at increased risk, as a compromised user account could be leveraged to exploit this vulnerability.
• nodejs / server:
grep -r 'settings/users' /path/to/movary/routes/*.js | grep -i 'admin'• generic web:
curl -I http://your-movary-instance/settings/users
# Check for 200 OK response, indicating access is not restricteddisclosure
Statut de l'Exploit
EPSS
0.04% (percentile 14%)
CISA SSVC
Vecteur CVSS
La solution à CVE-2026-40350 consiste à mettre à jour Movary vers la version 0.71.1 ou ultérieure. Cette version corrige la vulnérabilité en mettant correctement en œuvre le middleware exclusif aux administrateurs sur les points de terminaison de gestion des utilisateurs et en corrigeant la condition booléenne défectueuse dans la vérification d'autorisation au niveau du contrôleur. Il est fortement recommandé de mettre à jour vers la dernière version pour atténuer le risque d'exploitation. De plus, examinez les journaux d'audit à la recherche de toute activité suspecte qui aurait pu se produire avant la mise à jour. Assurez-vous que tous les comptes administrateur disposent de mots de passe forts et uniques.
Actualice Movary a la versión 0.71.1 o superior para corregir la vulnerabilidad de bypass de autorización. Esta actualización implementa una verificación de autorización adecuada para restringir el acceso a las funciones de administración solo a usuarios con privilegios administrativos.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Movary est une application web auto-hébergée qui permet aux utilisateurs de suivre et de noter les films qu'ils ont regardés.
Cette mise à jour corrige une vulnérabilité qui permet aux utilisateurs non administrateurs de créer des comptes administrateur, ce qui pourrait compromettre la sécurité de l'application.
Mettez à jour vers la version 0.71.1 ou ultérieure en suivant les instructions de mise à jour fournies par le développeur de Movary.
Modifiez immédiatement les mots de passe de tous les comptes administrateur, examinez les journaux d'audit à la recherche d'activités suspectes et envisagez de réinstaller l'application à partir d'une source fiable.
Non, il n'existe pas d'alternatives viables à la mise à jour. Les solutions de contournement seraient extrêmement complexes et pourraient introduire de nouvelles vulnérabilités.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.