🇰🇷 한글 설명
Wizarr의 Markdown 편집기 또는 번들 가져오기 기능에서 Jinja2 템플릿 엔진의 샌드박스 미적용 취약점이 발견되었습니다. 인증된 사용자가 악성 코드가 포함된 단계를 생성하거나 신뢰할 수 없는 번들을 가져올 경우, 서버에서 임의의 파이썬 코드를 실행하여 운영체제 명령을 수행하거나 데이터베이스 및 비밀 키를 탈취할 수 있습니다.
💡 쉬운 설명
사용자가 입력한 글자 속에 숨겨진 명령어가 서버에서 그대로 실행되는 보안 구멍이 발견되었습니다. 해커가 이 구멍을 이용하면 서버의 중요한 정보를 훔치거나 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
Wizarr is an advanced user invitation and management system for Jellyfin, Plex, Emby, and other media servers. Prior to 2026.9.1, wizard step Markdown supplied through the editor or imported bundles was evaluated by app/blueprints/wizard/routes.py in the application's non-sandboxed Jinja2 environment with application globals exposed. An authenticated user able to create steps, or an administrator importing an untrusted bundle through POST /settings/wizard/import, could execute arbitrary Python when GET /wizard/{server}/{idx} rendered the stored step; app/jinja_filters.py and app/services/wizard_widgets.py contained additional evaluation sinks. This could execute operating-system commands as the application user, disclose the Flask SECRET_KEY, access connected service credentials and the database, and produce stored cross-site scripting. This issue is fixed in 2026.9.1.
📍 영향받는 시스템
Wizarr 2026.9.1 미만 버전
⚔️ 공격 벡터
인증된 사용자가 악성 Markdown 단계 생성 또는 신뢰할 수 없는 번들 임포트(POST /settings/wizard/import)
🛡️ 대응 방법
Wizarr를 최신 보안 패치가 적용된 2026.9.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.9.1보다 낮으면 취약한 상태입니다.
python3 -c "import pkg_resources; print(pkg_resources.get_distribution('wizarr').version)" 2>/dev/null || echo 'wizarr not installed'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
Multi-Domain Security Management Server