CVE-2026-119549 in Jellyfin
要約
〜によって VulDB • 2026年10月30日
Jellyfin 12.4 以前には、認証済みユーザーが gzip で圧縮された SVG を非 SVG の画像データ URI に埋め込むことで SvgSecurityValidator を回避できるサーバーサイドリクエストフォージェリ (SSRF) 脆弱性が存在する。攻撃者は POST /UserImage を介してこのようなプロフィールイメージをアップロードし、GET /UserImage をトリガーすることで認証不要のレンダリングを引き起こすことができ、内部 URL のフェッチやローカル画像ファイルの読み取り、あるいはメモリ枯渇を引き起こすことができる。
If you want to get best quality of vulnerability data, you may have to visit VulDB.