PT-2026-32959 · Jellyfin · Jellyfin

0Xcyborg · Publicado 2026-04-14 · Atualizado 2026-04-15 · CVE-2026-35034

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions Jellyfin versões anteriores a 10.11.7

Description Um usuário autenticado pode causar uma negação de serviço através do endpoint 'POST /SyncPlay/New'. Devido à validação insuficiente de entrada, é possível criar grupos com nomes de tamanho ilimitado. Ao enviar cargas úteis grandes combinadas com IDs de grupo arbitrários, um invasor pode bloquear o endpoint para outros clientes e aumentar significativamente o uso de memória do processo, o que pode levar a um travamento por falta de memória (out-of-memory).

Recommendations Atualizar para a versão 10.11.7.

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2026-35034

Produtos afetados

Jellyfin

Referências · 6

• https://github.com/jellyfin/jellyfin/security/advisories/GHSA-v2jv-54xj-h76w · Aviso do Fabricante
• https://github.com/jellyfin/jellyfin/releases/tag/v10.11.7 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-35034 · Nota de Segurança
• https://twitter.com/CVEnew/status/2044338892334359013 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2044244104314278210 · Publicação no Twitter
• https://twitter.com/user_cyborg/status/2044233184745804090 · Publicação no Twitter