CVE-2026-27707: Seerr: bypass de autenticação para registro de conta via endpoint Jellyfin em instâncias Plex

Visão geral

O Seerr é um gerenciador de solicitações e descoberta de mídia de código aberto usado com Jellyfin, Plex e Emby. O aviso de segurança no GitHub descreve uma falha de lógica no guarda de autenticação do endpoint de login do Jellyfin, que afeta instâncias configuradas com Plex sob as configurações padrão. O registro classifica a fraqueza como CWE-288, Bypass de Autenticação Usando Caminho ou Canal Alternativo.

Impacto

Segundo o registro, um atacante não autenticado pode obter uma conta no Seerr e uma sessão autenticada com permissões padrão, que podem ser usadas para enviar solicitações de mídia ao Radarr e ao Sonarr. A NVD atribui pontuação base 9.8 (crítica), enquanto a pontuação do GitHub no registro é 7.3. Os campos SSVC indicam exploração como none, automatizável como yes e impacto técnico como partial.

Produtos e versões afetadas

• Seerr a partir de 2.0.0 até antes de 3.1.0, conforme listado sob os nomes de produto Seerr Seerr e Seerr-team Seerr.
• Implantações são descritas como potencialmente vulneráveis somente quando as três condições são verdadeiras: mediaServerType definido como PLEX, jellyfin.ip vazio e newPlexLogin definido como true.
• Implantações configuradas com Jellyfin e com Emby são apresentadas como não afetadas.

Status de exploração

O registro indica kev.listed como false, portanto nenhuma exploração ativa consta no catálogo CISA KEV. Uma referência está marcada como exploit nos dados da CVE, mas as fontes consultadas não confirmam exploração na natureza. A probabilidade EPSS no registro é 0.00702, com percentil de 0.52727.

Correção e mitigação

• Atualize o Seerr para 3.1.0 ou posterior, a versão corrigida identificada no registro. O commit de correção e as notas da versão são referenciados pelo registro.
• Até que a atualização seja aplicada, verifique se as três condições de configuração se aplicam à implantação. Se sim, trate a instância como exposta.
• Limite a exposição de rede da interface do Seerr a usuários confiáveis, já que a falha é descrita como acessível sem autenticação.
• Revise contas criadas recentemente e suas permissões em busca de registros inesperados.

Orientações de detecção

• Compare a lista de contas de usuário com os usuários esperados e procure contas criadas sem ação de administrador.
• Se houver logs disponíveis, revise eventos de autenticação bem-sucedidos no caminho de login do Jellyfin com origens desconhecidas.
• Confirme o tipo de servidor de mídia configurado e as configurações do Jellyfin, pois a exposição depende delas.

Limitações das informações disponíveis

• O registro não descreve assinaturas exatas em logs, e esta análise se baseia no resumo do aviso, não em revisão do commit de correção.
• NVD e GitHub atribuem pontuações base CVSS diferentes (9.8 e 7.3).
• O registro não informa se alguma implantação foi comprometida, portanto a extensão do impacto real é desconhecida.
• O registro não indica nenhuma mitigação apenas de configuração, então a atualização é a única correção documentada nas fontes.

Perguntas frequentes

Quais versões do Seerr são afetadas?

Segundo o registro, as versões do Seerr a partir de 2.0.0 até antes de 3.1.0 são afetadas, sob as condições de configuração descritas.

Todas as instalações do Seerr são afetadas?

Não. O registro afirma que uma implantação só pode estar vulnerável quando mediaServerType é PLEX, jellyfin.ip está vazio e newPlexLogin é true. Implantações configuradas com Jellyfin ou Emby são apresentadas como não afetadas.

Há exploração confirmada na natureza?

O registro indica kev.listed como false e as fontes consultadas não confirmam exploração ativa. Uma referência está marcada como exploit, mas isso não confirma exploração na natureza.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.