プラットフォーム
php
コンポーネント
movary
修正版
0.71.2
CVE-2026-40348は、セルフホスト型映画管理アプリケーションMovaryにおけるサーバーサイドリクエストフォワード（SSRF）脆弱性です。認証されたユーザーが、内部ネットワーク上のリソースにアクセスできる可能性があります。この脆弱性は、Movaryのバージョン0.0.0から0.71.0に影響を与えます。バージョン0.71.1へのアップデートにより、この脆弱性は修正されています。
このSSRF脆弱性を悪用されると、攻撃者はMovaryサーバーから内部ネットワーク上の機密情報にアクセスしたり、内部サービスをスキャンしたりすることが可能になります。例えば、内部データベースや管理インターフェースへのアクセスを試み、認証情報を盗み出す可能性があります。また、内部ネットワークに存在する他の脆弱なシステムを特定し、攻撃の足がかりにすることも考えられます。この脆弱性は、Movaryサーバーが内部ネットワークに直接接続されている場合に、特に深刻な影響を及ぼします。
この脆弱性は、2026年4月18日に公開されました。現時点では、公的に利用可能なPoC（Proof of Concept）は確認されていませんが、SSRF脆弱性であるため、攻撃者による悪用が懸念されます。CISA KEVカタログへの登録状況は不明です。Movaryの利用者は、速やかにアップデートを実施し、セキュリティリスクを軽減する必要があります。
Organizations running Movary in environments with internal services accessible via HTTP/HTTPS are at risk. This includes deployments where Movary is used to manage media libraries and interact with Jellyfin or other internal media servers. Shared hosting environments where multiple users share the same Movary instance are particularly vulnerable, as a compromised user account could be used to exploit the SSRF vulnerability.
• php: Examine Movary application logs for suspicious outbound HTTP requests to internal IP addresses or unusual domains. Use grep to search for patterns related to /settings/jellyfin/server-url-verify and internal URLs.
grep -r '/settings/jellyfin/server-url-verify' /var/log/apache2/access.log• generic web: Monitor web server access logs for requests to the /settings/jellyfin/server-url-verify endpoint originating from authenticated users. Look for unusual User-Agent strings or request headers.
curl -I http://movary.example.com/settings/jellyfin/server-url-verifydisclosure
エクスプロイト状況
EPSS
0.01% (1% パーセンタイル)
CISA SSVC
この脆弱性への最も効果的な対策は、Movaryをバージョン0.71.1以降にアップデートすることです。アップデートが困難な場合は、WAF（Web Application Firewall）を導入し、POST /settings/jellyfin/server-url-verifyエンドポイントへの不正なリクエストをブロックするルールを設定することを検討してください。また、Movaryサーバーが内部ネットワークに直接公開されていないことを確認し、必要に応じてネットワークセグメンテーションを実施することで、攻撃の影響範囲を限定することができます。アップデート後、サーバーのログを確認し、不審なアクティビティがないか確認してください。
Movary をバージョン 0.71.1 以降にアップデートすることで、SSRF の脆弱性を軽減してください。このバージョンでは、サーバーがアクセスできる URL を制限することで問題を修正し、任意の内部宛先へのリクエストを送信する可能性を回避します。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-40348は、Movaryのバージョン0.0.0から0.71.0において、認証済みユーザーが内部リクエストを任意のターゲットに送信できるSSRF脆弱性です。攻撃者はこの脆弱性を悪用して、内部ネットワーク上の機密情報にアクセスする可能性があります。
Movaryのバージョン0.0.0から0.71.0を使用している場合は、影響を受ける可能性があります。特に、Movaryサーバーが内部ネットワークに直接公開されている場合は、リスクが高まります。
Movaryをバージョン0.71.1以降にアップデートすることで、この脆弱性を修正できます。アップデートが困難な場合は、WAFを導入して不正なリクエストをブロックすることを検討してください。
現時点では、公的に利用可能なPoCは確認されていませんが、SSRF脆弱性であるため、攻撃者による悪用が懸念されます。
Movaryの公式アドバイザリは、通常、Movaryの公式ウェブサイトまたはGitHubリポジトリで公開されます。詳細については、Movaryのドキュメントを参照してください。
CVSS ベクトル