CVE-2026-35031

Jellyfin: RCE jako root przez path traversal w endpoincie przesyłania napisów

CVSS 9.9v3.1pub. 2026-04-14upd. 2026-04-23

Wersje Jellyfin wcześniejsze niż 10.11.7 zawierają łańcuch podatności w endpoincie przesyłania napisów, umożliwiający ostatecznie zdalne wykonanie kodu jako root. Podatność jest krytyczna ze względu na pełne przejęcie serwera przez uprawnionego użytkownika sieciowego.

▸ Pokaż oryginał (EN)

Jellyfin is an open source self hosted media server. Versions prior to 10.11.7 contain a vulnerability chain in the subtitle upload endpoint (POST /Videos/{itemId}/Subtitles), where the Format field is not validated, allowing path traversal via the file extension and enabling arbitrary file write. This arbitrary file write can be chained into arbitrary file read via .strm files, database extraction, admin privilege escalation, and ultimately remote code execution as root via ld.so.preload. Exploitation requires an administrator account or a user that has been explicitly granted the "Upload Subtitles" permission. This issue has been fixed in version 10.11.7. If users are unable to upgrade immediately, they can grant non-administrator users Subtitle upload permissions to reduce attack surface.

🤖 Analiza AI

Jak działa

Endpoint POST /Videos/{itemId}/Subtitles nie weryfikuje pola Format, co pozwala na path traversal poprzez manipulację rozszerzeniem pliku i zapis dowolnego pliku w systemie plików serwera. Zapisany plik może zostać następnie odczytany poprzez pliki .strm, co umożliwia ekstrakcję bazy danych i eskalację uprawnień do poziomu administratora. Finalnie atakujący może zapisać własną bibliotekę do ld.so.preload, osiągając zdalne wykonanie kodu z uprawnieniami root.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem, w tym odczyt dowolnych plików, ekstrakcję danych z bazy, eskalację uprawnień oraz zdalne wykonanie kodu jako root (RCE).

Mitygacja

Należy zaktualizować Jellyfin do wersji 10.11.7 lub nowszej. Jeśli natychmiastowa aktualizacja nie jest możliwa, zaleca się nienadawanie nieuprzywilejowanym użytkownikom uprawnienia 'Upload Subtitles' w celu ograniczenia powierzchni ataku.

Kogo dotyczy

Jellyfin w wersjach wcześniejszych niż 10.11.7. Eksploatacja wymaga konta administratora lub konta użytkownika z jawnie nadanym uprawnieniem 'Upload Subtitles'.

Uwagi

Podatność wymaga uwierzytelnienia (konto administratora lub użytkownik z uprawnieniem 'Upload Subtitles'), co ogranicza wektor ataku, lecz nie umniejsza krytyczności skutków po przełamaniu tego warunku wstępnego. Poprawka dostępna w wersji 10.11.7 opublikowanej przez producenta.