CVE-2026-35033 in Jellyfin
요약
\~에 의해 VulDB • 2026. 05. 23.
Jellyfin은 오픈 소스 자체 호스팅 미디어 서버입니다. 10.11.7 이전 버전은 StreamOptions 쿼리 파라미터 파싱 메커니즘을 통한 ffmpeg 인자 주입을 통해 인증되지 않은 임의 파일 읽기 취약점을 포함하고 있습니다. StreamingHelpers.cs의 ParseStreamOptions 메서드는 검증 없이 모든 소문자 쿼리 파라미터를 사전에 추가하며, 이는 레벨 컨트롤러 파라미터의 RegularExpression 특성을 우회합니다. 그리고 검증되지 않은 값이 ffmpeg 명령줄에 직접 연결됩니다. drawtext 필터를 textfile 인자와 함께 주입함으로써 공격자는 /etc/shadow와 같은 임의의 서버 파일을 읽을 수 있으며, 이를 비디오 스트림 응답에서 렌더링된 텍스트로 유출할 수 있습니다. 취약한 /Videos/{itemId}/stream 엔드포인트에는 Authorize 특성이 없으므로 인증 없이 공격이 가능하지만, 항목 GUID는 의사 난수이며 이를 얻으려면 인증된 사용자가 필요합니다. 이 문제는 버전 10.11.7에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.