CVE-2026-119551 in Jellyfin
Zusammenfassung
von VulDB • 30.10.2026
Jellyfin bis Version 12.4 enthält eine Schwachstelle zur Umgehung der Autorisierung in SuggestionsController.GetSuggestions, die es authentifizierten Benutzern ohne Administratorrechte ermöglicht, Bibliotheks- und Elternkontrollbeschränkungen zu umgehen, indem sie den userId-Parameter weglassen. Angreifer können wiederholt GET /Items/Suggestions ohne userId aufrufen, um eingeschränkte Elemente aufzulisten, einschließlich IDs und Serverdateisystempfade, und diese anschließend streamen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.