CVE-2026-35033
Publiée le 2026-04-14 · Dernière modification le 2026-07-24
Les serveurs multimédias Jellyfin antérieurs à la version 10.11.7 sont vulnérables à une attaque permettant à un utilisateur distant de lire n'importe quel fichier sur le système hôte, tels que des fichiers de mots de passe, en injectant des arguments malveillants dans une requête de flux vidéo. Un attaquant peut exfiltrer ces données en affichant le contenu des fichiers du serveur sous forme de texte directement au sein d'un flux vidéo. Cette opération ne nécessite ni authentification ni interaction de l'utilisateur, bien que l'attaquant doive d'abord obtenir un GUID d'élément spécifique pour cibler le point de terminaison vulnérable.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Jellyfin is an open source self hosted media server. Versions prior to 10.11.7 contain an unauthenticated arbitrary file read vulnerability via ffmpeg argument injection through the StreamOptions query parameter parsing mechanism. The ParseStreamOptions method in StreamingHelpers.cs adds any lowercase query parameter to a dictionary without validation, bypassing the RegularExpression attribute on the level controller parameter, and the unsanitized value is concatenated directly into the ffmpeg command line. By injecting a drawtext filter with a textfile argument, an attacker can read arbitrary server files such as /etc/shadow and exfiltrate their contents as text rendered in the video stream response. The vulnerable /Videos/{itemId}/stream endpoint has no Authorize attribute, making this exploitable without authentication, though item GUIDs are pseudorandom and require an authenticated user to obtain. This issue has been fixed in version 10.11.7.