平台
php
组件
movary
修复版本
0.71.2
CVE-2026-40348 是 Movary 中的服务器端请求伪造 (SSRF) 漏洞。该漏洞允许经过身份验证的用户通过 POST /settings/jellyfin/server-url-verify 端点发起对内部资源的请求，从而进行内部网络探测。受影响的版本包括 0.0.0 至 0.71.0。已发布补丁版本 0.71.1。
攻击者可以利用此 SSRF 漏洞扫描内部网络，访问未经授权的内部服务，并可能泄露敏感信息。由于攻击者只需要经过身份验证即可利用该漏洞，因此攻击面相对较广。攻击者可以利用该漏洞访问内部数据库、管理界面或其他内部资源，从而进一步扩大攻击范围。如果 Movary 与其他内部系统集成，攻击者可能能够利用此漏洞进行横向移动，攻击其他系统。
该漏洞已公开披露，且由于其相对简单的利用方式，存在被利用的风险。目前尚未观察到大规模的利用活动，但由于该漏洞的易用性，建议尽快采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录。
Organizations running Movary in environments with internal services accessible via HTTP/HTTPS are at risk. This includes deployments where Movary is used to manage media libraries and interact with Jellyfin or other internal media servers. Shared hosting environments where multiple users share the same Movary instance are particularly vulnerable, as a compromised user account could be used to exploit the SSRF vulnerability.
• php: Examine Movary application logs for suspicious outbound HTTP requests to internal IP addresses or unusual domains. Use grep to search for patterns related to /settings/jellyfin/server-url-verify and internal URLs.
grep -r '/settings/jellyfin/server-url-verify' /var/log/apache2/access.log• generic web: Monitor web server access logs for requests to the /settings/jellyfin/server-url-verify endpoint originating from authenticated users. Look for unusual User-Agent strings or request headers.
curl -I http://movary.example.com/settings/jellyfin/server-url-verifydisclosure
漏洞利用状态
EPSS
0.01% (1% 百分位)
CISA SSVC
最有效的缓解措施是立即升级到 Movary 0.71.1 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 Movary 访问内部网络的权限，使用 Web 应用防火墙 (WAF) 过滤对 /settings/jellyfin/server-url-verify 端点的请求，并监控系统日志以检测可疑活动。在升级后，请验证新版本是否已正确安装并配置，以确保漏洞已得到修复。
升级 Movary 到 0.71.1 或更高版本以缓解 SSRF 漏洞。此版本通过限制服务器可以访问的 URL，从而修复了该问题，避免了向任意内部目标发起请求的可能性。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-40348 是 Movary 中发现的服务器端请求伪造 (SSRF) 漏洞，允许认证用户发起对内部资源的请求。
如果您正在使用 Movary 0.0.0 至 0.71.0 版本，则您可能受到此漏洞的影响。
升级到 Movary 0.71.1 或更高版本以修复此漏洞。
目前尚未观察到大规模的利用活动，但由于该漏洞的易用性，建议尽快采取缓解措施。
请查阅 Movary 官方安全公告或 GitHub 仓库以获取更多信息。
CVSS 向量