Plataforma
nodejs
Componente
movary
Corrigido em
0.71.2
O aplicativo web Movary, utilizado para rastrear e avaliar filmes, apresenta uma vulnerabilidade de Cross-Site Scripting (XSS) em versões anteriores à 0.71.1. Usuários autenticados podem abusar dos endpoints de gerenciamento de usuários para enumerar todos os usuários e criar uma nova conta de administrador. A vulnerabilidade foi corrigida na versão 0.71.1.
A vulnerabilidade CVE-2026-40350 afeta o Movary, um aplicativo web auto-hospedado para rastrear e avaliar os filmes assistidos por um usuário. Antes da versão 0.71.1, um usuário autenticado padrão pode acessar os pontos finais de gerenciamento de usuários (/settings/users) e usá-los para enumerar todos os usuários e criar uma nova conta de administrador. Isso ocorre porque as definições de rota não impõem um middleware exclusivo para administradores e a verificação de autorização no nível do controlador usa uma condição booleana com defeito. Como resultado, qualquer usuário com um cookie de sessão web válido pode acessar a funcionalidade destinada a administradores. Isso permite que um atacante obtenha controle administrativo sobre o aplicativo, comprometendo potencialmente os dados do usuário e a integridade do sistema. A enumeração de usuários revela possíveis alvos para ataques futuros, enquanto a criação de uma conta de administrador concede acesso total.
A exploração desta vulnerabilidade requer que um atacante possua um cookie de sessão web válido para um usuário autenticado no Movary. O atacante pode então acessar os pontos finais /settings/users para enumerar todos os usuários e criar uma nova conta de administrador. A complexidade da exploração é baixa, pois não são necessárias habilidades técnicas avançadas. A probabilidade de exploração é alta, dada a fácil acessibilidade da vulnerabilidade e a falta de autenticação especializada além de um cookie de sessão válido. Esta vulnerabilidade é particularmente preocupante em ambientes onde os cookies de sessão são compartilhados ou reutilizados.
Self-hosted Movary installations are at the highest risk, particularly those with limited security monitoring or outdated configurations. Users who have not implemented strong password policies or multi-factor authentication are also at increased risk, as a compromised user account could be leveraged to exploit this vulnerability.
• nodejs / server:
grep -r 'settings/users' /path/to/movary/routes/*.js | grep -i 'admin'• generic web:
curl -I http://your-movary-instance/settings/users
# Check for 200 OK response, indicating access is not restricteddisclosure
Status do Exploit
EPSS
0.04% (percentil 14%)
CISA SSVC
Vetor CVSS
A solução para CVE-2026-40350 é atualizar o Movary para a versão 0.71.1 ou posterior. Esta versão corrige a vulnerabilidade implementando corretamente o middleware exclusivo para administradores nos pontos finais de gerenciamento de usuários e corrigindo a condição booleana com defeito na verificação de autorização no nível do controlador. É fortemente recomendado atualizar para a versão mais recente para mitigar o risco de exploração. Além disso, revise os logs de auditoria em busca de qualquer atividade suspeita que possa ter ocorrido antes da atualização. Garanta que todas as contas de administrador tenham senhas fortes e exclusivas.
Actualice Movary a la versión 0.71.1 o superior para corregir la vulnerabilidad de bypass de autorización. Esta actualización implementa una verificación de autorización adecuada para restringir el acceso a las funciones de administración solo a usuarios con privilegios administrativos.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Movary é um aplicativo web auto-hospedado que permite aos usuários rastrear e avaliar os filmes que assistiram.
Esta atualização aborda uma vulnerabilidade que permite que usuários não administradores criem contas de administrador, comprometendo potencialmente a segurança do aplicativo.
Atualize para a versão 0.71.1 ou posterior seguindo as instruções de atualização fornecidas pelo desenvolvedor do Movary.
Altere imediatamente as senhas de todas as contas de administrador, revise os logs de auditoria em busca de atividade suspeita e considere reinstalar o aplicativo a partir de uma fonte confiável.
Não, não existem alternativas viáveis para atualizar. As soluções alternativas seriam extremamente complexas e poderiam introduzir novas vulnerabilidades.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.