CVE-2024-43801 in Jellyfin
Résumé
par VulDB • 08/06/2026
Jellyfin est un serveur multimédia auto-hébergé open source. Le téléchargement d'images de profil utilisateur dans Jellyfin accepte les fichiers SVG, ce qui permet une attaque XSS stockée (Stored XSS) contre un administrateur via un fichier SVG malveillant spécialement conçu. Lorsqu'un administrateur consulte ce fichier SVG malveillant en dehors de l'interface Web de Jellyfin (par exemple via « afficher l'image » dans un navigateur), le fichier SVG peut interagir avec le LocalStorage du navigateur et récupérer un AccessToken, qui peut ensuite être utilisé dans un appel API pour élever les privilèges de l'utilisateur cible au rang d'administrateur Jellyfin. Le vecteur d'attaque réel est peu susceptible d'être exploité car il nécessite des actions spécifiques de la part de l'administrateur pour afficher l'image SVG en dehors de l'interface Web de Jellyfin, c'est-à-dire qu'il ne s'agit pas d'une attaque passive. Le mécanisme d'exploitation sous-jacent est corrigé par la PR #12490, qui force les images jointes (y compris le fichier SVG potentiellement malveillant) à être traitées comme des pièces jointes et donc téléchargées par les navigateurs plutôt qu'affichées. Cela empêche l'exploitation du LocalStorage du navigateur. Cette PR a été fusionnée et les modifications de code pertinentes sont incluses dans la version 10.9.10. Tous les utilisateurs sont invités à effectuer une mise à niveau.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.