Vulnerabilidades de Wizarrrr

Wizarr é um sistema avançado de convites e gerenciamento de usuários para Jellyfin, Plex, Emby e outros servidores de mídia. Antes da versão 2026.9.1, o Markdown dos passos do assistente fornecido pelo editor ou por pacotes importados era avaliado por app/blueprints/wizard/routes.py no ambiente Jinja2 não isolado (não sandbox), com globais da aplicação expostas. Um usuário autenticado capaz de criar passos, ou um administrador que importe um pacote não confiável por POST /settings/wizard/import, poderia executar Python arbitrário quando GET /wizard/{server}/{idx} renderizasse o passo armazenado; app/jinja_filters.py e app/services/wizard_widgets.py continham sinks de avaliação adicionais. Isso poderia executar comandos do sistema operacional como usuário da aplicação, divulgar a SECRET_KEY do Flask, acessar credenciais de serviços conectados e o banco de dados, e produzir cross-site scripting armazenado. Este problema está corrigido na versão 2026.9.1.