CVE-2026-35033 in Jellyfin
الملخص
بحسب VulDB • 23/05/2026
Jellyfin هو خادم وسائط مفتوح المصدر يُستضاف ذاتيًا. تحتوي الإصدارات السابقة من 10.11.7 على ثغرة لقراءة الملفات بشكل تعسفي دون مصادقة، وذلك عبر حقن وسائط ffmpeg من خلال آلية تحليل معلمة الاستعلام StreamOptions. تضيف طريقة ParseStreamOptions الموجودة في ملف StreamingHelpers.cs أي معلمة استعلام صغيرة الأحرف إلى قاموس دون التحقق منها، متجاوزةً سمة RegularExpression المطبقة على معلمة مستوى وحدة التحكم، ويتم دمج القيمة غير المعقمة مباشرةً في سطر أوامر ffmpeg. ومن خلال حقن فلتر drawtext مع وسيط textfile، يمكن للمهاجم قراءة ملفات الخادم بشكل تعسفي، مثل ملف /etc/shadow، واستخراج محتوياتها كنص مُعرض في استجابة تدفق الفيديو. لا تحتوي نقطة النهاية المعيبة /Videos/{itemId}/stream على سمة Authorize، مما يجعل استغلالها ممكنًا دون مصادقة، على الرغم من أن معرفات GUID للعناصر عشوائية زائفة وتتطلب مستخدمًا مُصادقًا للحصول عليها. تم إصلاح هذه المشكلة في الإصدار 10.11.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.