PT-2025-16394
CVE-2025-32012
·
تاريخ النشر
2025-04-15
·
تاريخ التحديث
2025-10-06
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Jellyfin من 10.9.0 إلى 10.10.6
الوصف
تؤثر هذه المشكلة على Jellyfin، وهو خادم وسائط مفتوح المصدر يتم استضافته ذاتيًا. وتتعلق المشكلة بنقطة النهاية
/System/Restart، المخصصة للمسؤولين لإعادة تشغيل خادم Jellyfin. ومع ذلك، فإن نقطة النهاية هذه تسمح أيضًا بالطلبات الواردة من أي جهاز موجود على نفس الشبكة المحلية (LAN) التي يوجد عليها خادم Jellyfin. ونظرًا للطريقة المستخدمة لتحديد عنوان IP المصدر للطلب، يمكن لمهاجم غير مصدق عليه تزوير عنوان IP الخاص به ليبدو وكأنه عنوان IP من الشبكة المحلية (LAN)، مما يتيح له إعادة تشغيل عملية خادم Jellyfin دون مصادقة. وهذا يسمح لمهاجم غير مصدق عليه بشن هجوم رفض الخدمة على أي خادم Jellyfin ذي الإعدادات الافتراضية، عن طريق إرسال طلبات مزيفة لإعادة تشغيل الخادم بشكل متكرر. كما أن طريقة تزوير عنوان IP تتجاوز بعض آليات الأمان، ويمكنها نظريًّا تجاوز متطلبات إعادة التشغيل الإدارية إذا تم دمجها مع التنفيذ البعيد للكود.التوصيات
بالنسبة لإصدارات Jellyfin من 10.9.0 إلى 10.10.6، قم بالتحديث إلى الإصدار 10.10.7 لحل المشكلة.
كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى نقطة النهاية
/System/Restart لمنع عمليات إعادة التشغيل غير المصرح بها حتى يتم تطبيق التصحيح.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾