CVE-2025-31499

Jellyfin açık kaynaklı, kendi kendine barındırılan bir medya sunucusudur. 10.10.7 öncesindeki sürümler, FFmpeg üzerinde argument injection zafiyetine sahiptir. Bu durum, düşük yetkili bir kullanıcı kimlik bilgilerine sahip herhangi biri tarafından muhtemelen uzaktan kod çalıştırma sağlamak için kullanılabilir. Bu zafiyet daha önce CVE-2023-49096 ile raporlanmış ve 10.8.13 sürümünde yamalanmıştı ancak yama atlatılabilir. Orijinal düzeltme, enjeksiyonu imkansız hale getirmek için bazı parametreleri sanitize eder, fakat belirli sanitize edilmemiş parametreler hala argument injection için kullanılabilir. Kimlik doğrulaması gerektirmeyen şu uç noktalar da zafiyetlidir: /Videos/<itemId>/stream ve /Videos/<itemId>/stream.<container>; muhtemelen AudioController içindeki benzer uç noktalarla birlikte. Bu argument injection, rastgele dosya yazımı gerçekleştirmek için istismar edilebilir ve bu da eklenti sistemi üzerinden olası bir uzaktan kod çalıştırmaya yol açabilir. Kimlik doğrulaması gerektirmeyen uç noktalar zafiyetli olsa da, istismar için geçerli bir itemId gereklidir ve kimliği doğrulanmış herhangi bir saldırgan, istismarın çalışmasını sağlamak için kolayca geçerli bir itemId elde edebilir. Bu zafiyet 10.10.7 sürümünde yamalanmıştır.