CVE-2026-35032 in Jellyfin
Zusammenfassung
von VulDB • 25.05.2026
Jellyfin ist ein quelloffener, selbst gehosteter Medienserver. Versionen vor 10.11.7 enthalten eine Schwachstellenkette im LiveTV-M3U-Tuner-Endpunkt (POST /LiveTv/TunerHosts), bei dem die Tuner-URL nicht validiert wird, was das Lesen lokaler Dateien über nicht-HTTP-Pfade und Server-Side Request Forgery (SSRF) über HTTP-URLs ermöglicht. Dies kann von jedem authentifizierten Benutzer ausgenutzt werden, da die Berechtigung „EnableLiveTvManagement“ standardmäßig für alle neuen Benutzer auf „true“ gesetzt ist. Ein Angreifer kann diese Schwachstellen verketten, indem er einen M3U-Tuner hinzufügt, der auf einen vom Angreifer kontrollierten Server verweist, der eine manipulierte M3U-Datei mit einem Kanal bereitstellt, der auf die Jellyfin-Datenbank verweist, wodurch die Datenbank extrahiert wird, um Admin-Sitzungstoken zu gewinnen, und die Rechte auf Administratorstufe eskaliert werden. Dieses Problem wurde in Version 10.11.7 behoben. Wenn Benutzer ein Upgrade nicht sofort durchführen können, können sie die Live-TV-Management-Berechtigungen für alle Benutzer deaktivieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.