PT-2021-14479 · Jellyfin · Jellyfin

Joshuaboniface · Publicado 2021-03-23 · Atualizado 2025-08-28 · CVE-2021-21402

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Jellyfin anteriores à 10.7.1

Descrição

A vulnerabilidade permite a leitura arbitrária de arquivos no sistema de arquivos de um servidor Jellyfin por meio de solicitações maliciosas direcionadas a determinados “pontos de extremidade da API”. Isso ocorre com maior frequência quando o Windows é utilizado como sistema operacional do host. Servidores expostos à Internet pública estão potencialmente em risco.

Recomendações

Para versões anteriores à 10.7.1, atualize para a versão 10.7.1 o mais rápido possível. Como solução temporária, os usuários podem restringir parte do acesso aplicando permissões de segurança rigorosas em seu sistema de arquivos.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2021-21402

GHSA-WG4C-C9G9-RXHX

Produtos afetados

Jellyfin

Referências · 10

• 🔥❌ https://github.com/MzzdToT/CVE-2021-21402 · Exploit, Deleted
• https://github.com/jellyfin/jellyfin/commit/0183ef8e89195f420c48d2600bc0b72f6d3a7fd7 · Correção
• https://github.com/jellyfin/jellyfin/releases/tag/v10.7.1 · Nota
• https://github.com/jellyfin/jellyfin/security/advisories/GHSA-wg4c-c9g9-rxhx · Nota
• https://twitter.com/Lulz_BinBash/status/1961110746148081762 · Publicação no Twitter
• https://t.me/cibsecurity/25345 · Publicação no Telegram
• https://t.me/cybersecuritytechnologies/3104 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-21402 · Nota de Segurança
• https://t.me/cybersecuritytechnologies/3064 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21402 · Aviso do Fabricante