CVE-2026-48793
Açıklama
Jellyfin açık kaynaklı, kendi kendine barındırılan bir medya sunucusudur. 10.11.10 sürümünden önce, altyazı dönüştürme kod yolunda potansiyel bir FFmpeg argüman enjeksiyonu zafiyeti bulunmaktadır. SubtitleEncoder.ConvertTextSubtitleToSrtInternal (SubtitleEncoder.cs, satır 382), EncodingUtils.NormalizePath() fonksiyonunu çağırmadan altyazı dosya yolunu FFmpeg komut satırı argümanlarına eklemektedir. Linux'ta dosya adları, argüman tırnaklamasını bozan ve rastgele FFmpeg argümanlarının enjekte edilmesine izin veren çift tırnak karakterleri içerebilir. Zafiyete, [Authorize] özniteliği bulunmayan SubtitleController.GetSubtitle üzerinden kimlik doğrulaması olmadan erişilebilir. Bir Jellyfin medya kitaplığı dizinine (paylaşılan NAS, Samba paylaşımı, konuk yüklemesi) dosya yerleştirebilen bir saldırgan, sunucu üzerinde rastgele dosya yazma ve bilgi ifşası gerçekleştirebilir. Bu zafiyet 10.11.10 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jellyfin jellyfin | < 10.11.10 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.