CVE-2026-31852
Açıklama
Jellyfin açık kaynaklı bir medya sistemidir. jellyfin/jellyfin-ios içerisindeki code-quality.yml GitHub Actions iş akışı, çatallanmış (forked) depolardan gelen çekme istekleri (pull requests) aracılığıyla keyfi kod çalıştırmaya karşı savunmasızdır. İş akışının yüksek izinleri (neredeyse tüm yazma izinleri) nedeniyle bu zafiyet; jellyfin/jellyfin-ios deposunun tamamen ele geçirilmesine, yüksek yetkili gizli bilgilerin sızdırılmasına, Apple App Store tedarik zinciri saldırısına, GitHub Container Registry (ghcr.io) paket zehirlemesine ve depolar arası belirteç kullanımı yoluyla tüm jellyfin organizasyonunun tehlikeye girmesine olanak tanır. Not: Bu bir kod zafiyeti değil, GitHub Actions iş akışlarındaki bir zafiyettir. Bu GHSA için yeni bir sürüm gerekmemektedir ve son kullanıcıların herhangi bir işlem yapmasına gerek yoktur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jellyfin jellyfin | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.