Movary उपयोगकर्ता प्रबंधन (/settings/users) में प्राधिकरण बाईपास है जो निम्न-विशेषाधिकार प्राप्त उपयोगकर्ताओं को सभी उपयोगकर्ताओं को सूचीबद्ध करने और व्यवस्थापक खाते बनाने की अनुमति देता है

CVE-2026-40350 Movary को प्रभावित करता है, जो एक स्व-होस्टेड वेब ऐप है जो उपयोगकर्ताओं द्वारा देखे गए फिल्मों को ट्रैक और रेट करने के लिए है। संस्करण 0.71.1 से पहले, एक सामान्य प्रमाणित उपयोगकर्ता उपयोगकर्ता प्रबंधन एंडपॉइंट /settings/users तक पहुंच सकता है और उनका उपयोग सभी उपयोगकर्ताओं को सूचीबद्ध करने और एक नया व्यवस्थापक खाता बनाने के लिए कर सकता है। यह इसलिए होता है क्योंकि रूट परिभाषाएँ केवल व्यवस्थापक के लिए मध्यवर्ती लागू नहीं करती हैं, और नियंत्रक-स्तरीय प्राधिकरण जांच एक गलत बूलियन स्थिति का उपयोग करती है। नतीजतन, एक वैध वेब सत्र कुकी वाला कोई भी उपयोगकर्ता केवल व्यवस्थापकों के लिए अभिप्रेत कार्यों तक पहुंच सकता है। यह एक हमलावर को एप्लिकेशन पर व्यवस्थापकीय नियंत्रण प्राप्त करने की अनुमति देता है, जिससे संभावित रूप से उपयोगकर्ता डेटा और सिस्टम अखंडता से समझौता हो सकता है। उपयोगकर्ता की सूचीकरण आगे के हमलों के लिए संभावित लक्ष्यों को उजागर करता है, जबकि व्यवस्थापक खाते का निर्माण पूर्ण पहुंच प्रदान करता है।

Self-hosted Movary installations are at the highest risk, particularly those with limited security monitoring or outdated configurations. Users who have not implemented strong password policies or multi-factor authentication are also at increased risk, as a compromised user account could be leveraged to exploit this vulnerability.

• nodejs / server:

  grep -r 'settings/users' /path/to/movary/routes/*.js | grep -i 'admin'

• generic web:

  curl -I http://your-movary-instance/settings/users
  # Check for 200 OK response, indicating access is not restricted

1. 2026-04-18Disclosure

   disclosure

1. आरक्षित2026-04-10
2. प्रकाशित2026-04-18
3. संशोधित2026-04-20
4. EPSS अद्यतन2026-04-25

CVE-2026-40350 के लिए समाधान Movary को संस्करण 0.71.1 या बाद में अपडेट करना है। यह संस्करण उपयोगकर्ता प्रबंधन एंडपॉइंट पर केवल व्यवस्थापक के लिए मध्यवर्ती को ठीक से लागू करके और नियंत्रक-स्तरीय प्राधिकरण जांच में गलत बूलियन स्थिति को ठीक करके भेद्यता को ठीक करता है। शोषण के जोखिम को कम करने के लिए नवीनतम संस्करण में अपडेट करने की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, अपडेट से पहले किसी भी संदिग्ध गतिविधि के लिए ऑडिट लॉग की समीक्षा करें। सुनिश्चित करें कि सभी व्यवस्थापक खातों में मजबूत और अद्वितीय पासवर्ड हैं।