CVE-2026-108264: Wizarr: injeção de template em passos do assistente permite execução de código
As versões do Wizarr anteriores à 2026.9.1 avaliam o Markdown dos passos do assistente em um ambiente de template não isolado, de modo que um usuário autenticado que pode criar passos, ou um administrador que importe um pacote não confiável, pode conseguir executar Python arbitrário. O registro descreve possível execução de comandos do sistema operacional, divulgação da chave secreta do Flask e de credenciais de serviços conectados, além de cross-site scripting armazenado. O problema está corrigido na versão 2026.9.1, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Wizarr é um sistema de convites e gerenciamento de usuários para servidores de mídia como Jellyfin, Plex e Emby. Segundo o registro, o Markdown dos passos do assistente é renderizado por um mecanismo de templates não isolado, com globais da aplicação expostas. Esse tipo de falha é classificado como CWE-1336, neutralização inadequada de elementos especiais usados em um mecanismo de templates. A correção é descrita no aviso de segurança do GitHub e na versão v2026.9.1.
Impacto
O registro indica que a falha poderia permitir:
- execução de Python arbitrário e, possivelmente, de comandos do sistema operacional com as permissões do usuário da aplicação;
- divulgação da SECRET_KEY do Flask;
- acesso às credenciais de serviços conectados e ao banco de dados;
- cross-site scripting armazenado.
Esses são resultados possíveis descritos no registro. Ele não informa com que frequência isso ocorreu em implantações reais.
Produtos e versões afetados
O registro indica que versões anteriores à 2026.9.1 são afetadas. A lista estruturada de produtos afetados no registro está vazia, portanto a lista exata de versões afetadas e seus limites não está disponível apenas com base nele. Recomenda-se tratar qualquer instalação do Wizarr anterior à 2026.9.1 como potencialmente afetada até que seja verificada.
Status de exploração
O registro informa que a entrada não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A estimativa EPSS do registro é uma probabilidade de 0,00375, com percentil de 0,29589, datada de 13/10/2026.
Correção e mitigação
- Atualize o Wizarr para a versão 2026.9.1 ou posterior, que o registro identifica como a versão corrigida.
- Enquanto a atualização não for concluída, restrinja quem pode criar ou editar passos do assistente e limite as importações de pacotes a administradores confiáveis.
- Revise os passos existentes e os pacotes importados em busca de sintaxe de template inesperada ou conteúdo não escrito por usuários confiáveis.
- Renove a chave secreta do Flask e as credenciais dos serviços conectados se houver motivo para supor que uma instância afetada esteve exposta a entradas não confiáveis.
Orientações de detecção
- Audite as contas com permissão para criar passos do assistente e as alterações recentes nesses passos.
- Revise os registros de importação de pacotes pela função de importação do assistente em configurações, buscando origens inesperadas ou não verificadas.
- Monitore o acesso às rotas de renderização do assistente em busca de atividade incomum após criação ou importação de passos.
- Verifique o host da aplicação em busca de processos inesperados ou conexões de saída originadas pelo usuário da aplicação.
Limitações das informações disponíveis
O registro não traz uma lista confirmada, em formato estruturado, das faixas de versões afetadas, nem uma avaliação de explorabilidade confirmada pelo fornecedor, nem qualquer informação sobre prova de conceito pública. A pontuação CVSS de 9,1 e a severidade crítica são informadas pelo CNA do GitHub. O registro também não contém dados de produto atribuídos pelo NVD no momento da montagem, de modo que alguns detalhes podem mudar conforme o aviso for atualizado.
Perguntas frequentes
Quais versões do Wizarr são afetadas pelo CVE-2026-108264?
O registro indica que versões anteriores à 2026.9.1 são afetadas. A lista estruturada de produtos afetados está vazia, portanto os limites exatos das versões não são confirmados pelo registro.
O CVE-2026-108264 está sendo explorado ativamente?
O registro mostra que a entrada não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer primeiro?
Atualizar o Wizarr para a versão 2026.9.1 ou posterior e restringir quem pode criar passos do assistente ou importar pacotes até que a atualização seja concluída.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.