Wizarr: Server-Side Template Injection in Wizard-Schritten führt zu Remote Code Execution
Zusammenfassung
Wizarr, ein System zur Verwaltung von Benutzereinladungen für Medienserver wie Jellyfin, Plex und Emby, wertete Markdown von Wizard-Schritten in einer nicht abgesicherten Jinja2-Umgebung aus. Ein authentifizierter Benutzer, der Schritte erstellen kann, oder ein Administrator, der ein manipuliertes Bundle importiert, kann beim Rendern des Schritts beliebigen Python-Code ausführen. Eine erfolgreiche Ausnutzung erlaubt Betriebssystembefehle als Anwendungsbenutzer, die Offenlegung des Flask SECRET_KEY, den Zugriff auf Zugangsdaten verbundener Medienserver und auf die Datenbank sowie gespeichertes Cross-Site Scripting.
Betroffen
- Wizarr-Versionen vor 2026.9.1
Behoben in
- Behoben in Wizarr 2026.9.1
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers gefunden; ein Update ist die dokumentierte Massnahme.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden; ein Eintrag im CISA-KEV-Katalog ist nicht bestätigt.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung poc, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen Sie, ob Wizarr-Instanzen in einer Version vor 2026.9.1 laufen, und aktualisieren Sie auf 2026.9.1 oder neuer.
- Beschränken Sie den Zugriff auf die Admin-Oberfläche von Wizarr und prüfen Sie, wer Administrator- oder Schritt-Erstellungsrechte besitzt.
- War eine Instanz mit einer älteren Version exponiert, prüfen Sie Wizard-Schritte und importierte Bundles, rotieren Sie den SECRET_KEY und die Zugangsdaten verbundener Medienserver und kontrollieren Sie die Datenbank auf Manipulationen.
- Überwachen Sie die Logs auf ungewöhnliche Wizard-Importe und Änderungen an Schritten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wizarr release v2026.9.1 github.com
- Wizarr fix commit 6aa3c33 (restrict wizard template rendering) github.com
- GitHub Security Advisory GHSA-h9rv-mxh2-35f3 github.com
- OSV entry CVE-2026-108264 osv.dev
- Strix CVE summary CVE-2026-108264 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:05.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.