Vulnerabilidades do CyferShepard Jellystat

Jellystat é um aplicativo gratuito e de código aberto de estatísticas para o Jellyfin. Antes da versão 1.1.10, múltiplos endpoints da API do Jellystat montam consultas SQL interpolando campos do corpo da requisição não sanitizados diretamente em strings SQL brutas. Um usuário autenticado pode injetar SQL arbitrário via POST /api/getUserDetails e POST /api/getLibrary, permitindo a leitura completa de qualquer tabela do banco de dados, incluindo app_config, que armazena as credenciais de administrador do Jellystat, a chave de API do Jellyfin e a URL do host Jellyfin. Como o ponto de chamada vulnerável despacha via o simple query protocol do node-postgres (sem array de parâmetros), consultas empilhadas são permitidas, o que escala a injeção de divulgação de dados para execução arbitrária de comandos no host PostgreSQL via COPY ... TO PROGRAM. Sob a role distribuída pelo docker-compose.yml do projeto (um superusuário PostgreSQL), nenhum privilégio adicional é necessário para alcançar a primitiva de RCE. A versão 1.1.10 contém a correção.