CVE-2026-35033

Jellyfin, açık kaynaklı ve kendi kendine barındırılan bir medya sunucusudur. 10.11.7 öncesindeki sürümler, StreamOptions sorgu parametresi ayrıştırma mekanizması üzerinden gerçekleştirilen ffmpeg argüman enjeksiyonu aracılığıyla kimlik doğrulaması gerektirmeyen rastgele dosya okuma zafiyeti içermektedir. StreamingHelpers.cs dosyasındaki ParseStreamOptions yöntemi, herhangi bir küçük harfli sorgu parametresini doğrulama yapmadan bir sözlüğe ekleyerek level controller parametresi üzerindeki RegularExpression özniteliğini atlar ve temizlenmemiş değer doğrudan ffmpeg komut satırına eklenir. Bir saldırgan, textfile argümanı içeren bir drawtext filtresi enjekte ederek /etc/shadow gibi rastgele sunucu dosyalarını okuyabilir ve içeriklerini video akış yanıtında oluşturulan metin olarak dışarı sızdırabilir. Zafiyetli olan /Videos/{itemId}/stream uç noktası Authorize özniteliğine sahip değildir, bu da durumu kimlik doğrulaması olmadan istismar edilebilir kılar; ancak öğe GUID'leri yarı rastgeledir ve elde edilmesi için kimliği doğrulanmış bir kullanıcı gerekir. Bu sorun 10.11.7 sürümünde düzeltilmiştir.