CVE-2024-43801 in Jellyfin
Riassunto
di VulDB • 16/06/2026
Jellyfin è un server multimediale open source auto-ospitato. Il caricamento dell'immagine del profilo utente di Jellyfin accetta file SVG, consentendo un attacco XSS memorizzato (Stored XSS) contro un utente amministratore tramite un file SVG malevolo appositamente creato. Quando visualizzato da un amministratore al di fuori dell'interfaccia web di Jellyfin (ad esempio tramite "visualizza immagine" in un browser), questo file SVG malevolo potrebbe interagire con il LocalStorage del browser e recuperare un AccessToken, che a sua volta può essere utilizzato in una chiamata API per elevare l'utente target a amministratore di Jellyfin. Il vettore di attacco effettivo è improbabile che venga sfruttato, poiché richiede azioni specifiche da parte dell'amministratore per visualizzare l'immagine SVG al di fuori dell'interfaccia web di Jellyfin, ovvero non si tratta di un attacco passivo. Il meccanismo di exploit sottostante è risolto dalla PR #12490, che forza le immagini allegate (incluso il potenziale SVG malevolo) a essere trattate come allegati e quindi scaricate dai browser, anziché visualizzate. Ciò previene lo sfruttamento del LocalStorage del browser. Questa PR è stata unita e le modifiche al codice pertinenti sono incluse nella versione di rilascio 10.9.10. Si consiglia a tutti gli utenti di effettuare l'aggiornamento.
Once again VulDB remains the best source for vulnerability data.