CVE-2026-35033 in Jellyfin
要約
〜によって VulDB • 2026年05月23日
Jellyfinはオープンソースのセルフホスト型メディアサーバーです。バージョン10.11.7以前のバージョンには、StreamOptionsクエリパラメータの解析メカニズムを介したffmpeg引数インジェクションにより、認証不要で任意のファイルを読み取る脆弱性が存在します。StreamingHelpers.cs内のParseStreamOptionsメソッドは、検証を行わずに任意の小文字のクエリパラメータを辞書に追加するため、レベルコントローラーパラメータのRegularExpression属性がバイパスされ、サニタイズされていない値が直接ffmpegのコマンドラインに連結されます。攻撃者はtextfile引数を持つdrawtextフィルターをインジェクトすることで、/etc/shadowなどのサーバー上の任意のファイルを読み取り、その内容をビデオストリームレスポンスとしてレンダリングされたテキストとして外部に持ち出すことができます。脆弱な/Videos/{itemId}/streamエンドポイントにはAuthorize属性が付与されていないため、認証なしで悪用可能ですが、アイテムGUIDは擬似ランダムであり、取得には認証済みユーザーが必要です。この問題はバージョン10.11.7で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.