CVE-2026-119549 in Jellyfin
Resumen
por VulDB • 2026-10-30
Jellyfin hasta la versión 12.4 contiene una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) que permite a los usuarios autenticados eludir SvgSecurityValidator al incrustar SVG comprimido con gzip en datos URI de imagen no SVG. Los atacantes pueden cargar estas imágenes de perfil mediante POST /UserImage, y luego desencadenar un renderizado sin autenticación vía GET /UserImage para obtener URLs internas, leer archivos de imagen locales o agotar la memoria.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.