CVE-2026-111728
Publiée le 2026-10-16 · Dernière modification le 2026-10-16
Les versions 3.7.0 à 3.10.3 de Seanime, un outil de gestion de serveur multimédia, contiennent une faille d'injection d'arguments. Le logiciel ne parvient pas à autoriser correctement les requêtes vers les paramètres du flux multimédia (mediastream), permettant ainsi aux utilisateurs de fournir des indicateurs (flags) d'accélération matérielle personnalisés. Ces indicateurs sont transmis directement au processus ffmpeg sous-jacent sans être assainis.
Un attaquant non authentifié sur votre réseau local ou Tailnet peut utiliser cette faille pour lire, écrire ou tronquer des fichiers sur votre système hôte avec les permissions de l'utilisateur exécutant Seanime. Il peut également potentiellement exfiltrer des données locales en exploitant les gestionnaires de protocoles intégrés à ffmpeg. L'attaque est relativement facile à exécuter car elle ne nécessite ni identifiants ni interaction de l'utilisateur, bien qu'elle requière un accès au réseau local.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Seanime v3.7.0 to v3.10.3 contains an argument injection vulnerability reachable through improper authorization, allowing unauthenticated LAN or Tailnet clients to bypass the privileged mediastream settings guard by setting transcodeHwAccel to custom and supplying attacker-controlled decodeFlags and encodeFlags via the transcodeHwAccelCustomSettings field, which are appended verbatim to the ffmpeg argument vector. Attackers can trigger execution via the mediastream request and HLS playlist endpoints to achieve arbitrary file write and file truncation on the host as the user running seanime, with the injected input options also enabling potential arbitrary local file read and outbound data exfiltration through ffmpeg's protocol handlers.