CVE-2026-35033
KrytyczneStreszczenie
Jellyfin to serwer multimedialny typu open source, który w wersjach przed 10.11.7 zawiera podatność na nieautoryzowane odczyty plików poprzez wstrzykiwanie argumentów ffmpeg w mechanizmie analizy parametrów zapytania StreamOptions. Metoda ParseStreamOptions dodaje parametry zapytania do słownika bez walidacji, co pozwala na wstrzyknięcie złośliwego filtru drawtext.
Ocena ryzyka
Atakujący może odczytać dowolne pliki serwera, takie jak /etc/shadow, co prowadzi do ujawnienia wrażliwych informacji. Ponadto, podatność ta może być wykorzystana bez konieczności uwierzytelnienia, co zwiększa ryzyko dla organizacji.
Rekomendacja
Zaleca się aktualizację Jellyfin do wersji 10.11.7 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto rozważyć wprowadzenie dodatkowych mechanizmów uwierzytelniania dla wrażliwych punktów końcowych.
Oryginalny opis (angielski, źródło NVD)
Jellyfin is an open source self hosted media server. Versions prior to 10.11.7 contain an unauthenticated arbitrary file read vulnerability via ffmpeg argument injection through the StreamOptions query parameter parsing mechanism. The ParseStreamOptions method in StreamingHelpers.cs adds any lowercase query parameter to a dictionary without validation, bypassing the RegularExpression attribute on the level controller parameter, and the unsanitized value is concatenated directly into the ffmpeg command line. By injecting a drawtext filter with a textfile argument, an attacker can read arbitrary server files such as /etc/shadow and exfiltrate their contents as text rendered in the video stream response. The vulnerable /Videos/{itemId}/stream endpoint has no Authorize attribute, making this exploitable without authentication, though item GUIDs are pseudorandom and require an authenticated user to obtain. This issue has been fixed in version 10.11.7.