プラットフォーム
nodejs
コンポーネント
movary
修正版
0.71.2
CVE-2026-40350 affects Movary, a self-hosted web application for tracking and rating movies, prior to version 0.71.1. This vulnerability allows authenticated users to bypass authorization checks and create new administrator accounts, potentially granting them full control over the application. The vulnerability stems from a flawed boolean condition in the user-management endpoints. A fix is available in version 0.71.1.
CVE-2026-40350 は、ユーザーの視聴した映画を追跡および評価するためのセルフホスト型 Web アプリである Movary に影響を与えます。バージョン 0.71.1 より前は、通常の認証済みユーザーがユーザー管理エンドポイント /settings/users にアクセスし、それらを使用してすべてのユーザーを列挙し、新しい管理者アカウントを作成できます。これは、ルート定義が管理者専用のミドルウェアを強制しておらず、コントローラーレベルの認証チェックが壊れたブール条件を使用しているために発生します。その結果、有効な Web セッション Cookie を持つユーザーは、管理者のみを対象とする機能にアクセスできます。これにより、攻撃者はアプリケーションの管理者制御を獲得し、ユーザーデータやシステム整合性を損なう可能性があります。ユーザーの列挙は、さらなる攻撃の潜在的なターゲットを明らかにし、管理者アカウントの作成は完全なアクセス権を付与します。
この脆弱性の悪用には、Movary 内の認証済みユーザーの有効な Web セッション Cookie が攻撃者に必要です。攻撃者は、次に /settings/users エンドポイントにアクセスしてすべてのユーザーを列挙し、新しい管理者アカウントを作成できます。悪用の複雑さは低く、高度な技術スキルは必要ありません。有効なセッション Cookie 以外の特別な認証がないため、悪用の可能性は高くなっています。この脆弱性は、セッション Cookie が共有または再利用される環境で特に懸念されます。
Self-hosted Movary installations are at the highest risk, particularly those with limited security monitoring or outdated configurations. Users who have not implemented strong password policies or multi-factor authentication are also at increased risk, as a compromised user account could be leveraged to exploit this vulnerability.
• nodejs / server:
grep -r 'settings/users' /path/to/movary/routes/*.js | grep -i 'admin'• generic web:
curl -I http://your-movary-instance/settings/users
# Check for 200 OK response, indicating access is not restricteddisclosure
エクスプロイト状況
EPSS
0.04% (14% パーセンタイル)
CISA SSVC
CVE-2026-40350 の解決策は、Movary をバージョン 0.71.1 以降に更新することです。このバージョンは、ユーザー管理エンドポイントに管理者専用のミドルウェアを適切に実装し、コントローラーレベルの認証チェックにおける壊れたブール条件を修正することで、脆弱性を修正します。搾取のリスクを軽減するために、最新バージョンに更新することを強くお勧めします。さらに、更新前に発生した可能性のある疑わしいアクティビティがないか、監査ログを確認してください。すべての管理者アカウントに強力でユニークなパスワードを設定していることを確認してください。
Actualice Movary a la versión 0.71.1 o superior para corregir la vulnerabilidad de bypass de autorización. Esta actualización implementa una verificación de autorización adecuada para restringir el acceso a las funciones de administración solo a usuarios con privilegios administrativos.
脆弱性分析と重要アラートをメールでお届けします。
Movary は、ユーザーが視聴した映画を追跡および評価できるセルフホスト型 Web アプリケーションです。
このアップデートは、非管理者ユーザーが管理者アカウントを作成できる脆弱性を修正し、アプリケーションのセキュリティを損なう可能性があります。
Movary 開発者が提供するアップデート手順に従って、バージョン 0.71.1 以降にアップデートしてください。
すべての管理者アカウントのパスワードをすぐに変更し、疑わしい活動がないか監査ログを確認し、信頼できるソースからアプリケーションを再インストールすることを検討してください。
いいえ、アップデートの代替手段はありません。回避策は非常に複雑になり、新しい脆弱性を導入する可能性があります。
CVSS ベクトル