PT-2026-32958 · Jellyfin · Jellyfin
Paul-Gerste-Sonarsource
·
Publicado
2026-04-14
·
Atualizado
2026-04-15
·
CVE-2026-35033
CVSS v4.0
9.3
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N |
Name of the Vulnerable Software and Affected Versions
Jellyfin versões anteriores a 10.11.7
Description
Uma leitura arbitrária de arquivos não autenticada é possível via injeção de argumentos do ffmpeg através do mecanismo de análise de parâmetros de consulta. O método
ParseStreamOptions em StreamingHelpers.cs adiciona parâmetros de consulta em letras minúsculas a um dicionário sem validação, ignorando o atributo RegularExpression no parâmetro do controlador de nível. Esse valor não sanitizado é então concatenado diretamente na linha de comando do ffmpeg. Um invasor pode injetar um filtro drawtext com um argumento textfile para ler arquivos arbitrários do servidor, como /etc/shadow, e exfiltrar o conteúdo como texto renderizado na resposta do fluxo de vídeo. O endpoint afetado é '/Videos/{itemId}/stream', que carece de um atributo Authorize, permitindo a exploração sem autenticação, embora os GUIDs dos itens sejam pseudoaleatórios.Recommendations
Atualizar para a versão 10.11.7.
Correção
Argument Injection
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jellyfin