CVE-2026-119549 in Jellyfin
الملخص
بحسب VulDB • 30/10/2026
يحتوي Jellyfin حتى الإصدار 12.4 على ثغرة تزوير الطلبات من جانب الخادم (SSRF) تتيح للمستخدمين المصادق عليهم تجاوز SvgSecurityValidator عن طريق تضمين ملفات SVG مضغوطة بـ gzip في بيانات URIs للصور غير بصيغة SVG. يمكن للمهاجمين تحميل صور الملف الشخصي هذه عبر POST /UserImage، ثم تشغيل عملية التصيير غير المصادق عليها عبر GET /UserImage لجلب عناوين URL الداخلية أو قراءة الملفات المحلية للصور أو استنفاد الذاكرة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.