CVE-2026-35034
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Jellyfin przed wersją 10.11.7 zawiera podatność na odmowę usługi w punkcie końcowym tworzenia grup SyncPlay. Uwierzytelniony użytkownik może tworzyć grupy o nazwach o nieograniczonym rozmiarze, co prowadzi do blokady punktu końcowego i zwiększenia zużycia pamięci, potencjalnie powodując awarię z powodu braku pamięci.
Ocena ryzyka
Atakujący może uniemożliwić innym klientom dołączanie do grup SyncPlay oraz spowodować awarię serwera Jellyfin, co zakłóca dostępność usługi.
Rekomendacja
Zaleca się natychmiastową aktualizację Jellyfin do wersji 10.11.7 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Jellyfin is an open source self hosted media server. Versions prior to 10.11.7 contain a denial of service vulnerability in the SyncPlay group creation endpoint (POST /SyncPlay/New), where an authenticated user can create groups with names of unlimited size due to insufficient input validation. By sending large payloads combined with arbitrary group IDs, an attacker can lock out the endpoint for other clients attempting to join SyncPlay groups and significantly increase the memory usage of the Jellyfin process, potentially leading to an out-of-memory crash. This issue has been fixed in version 10.11.7.