PT-2026-144918
CVE-2026-126499
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Jellyfin الإصدارات السابقة لـ 12.0
Description
توجد ثغرة traversal path حيث تسمح أسماء المكتبات غير المتحقق منها للمهاجمين بحذف أو نقل المجلدات. يمكن للمهاجمين غير المصرح لهم استغلال ذلك قبل اكتمال عملية الإعداد عن طريق تقديم مسارات مطلقة أو تسلسلات مثل
.. لحذف ملف jellyfin.db ومجلد البيانات بشكل متكرر. يؤثر هذا على نقاط نهاية API وهي 'DELETE /Library/VirtualFolders' و 'POST /Library/VirtualFolders/Name'.Recommendations
التحديث إلى الإصدار 12.0 أو أحدث.
تقييد الوصول إلى نقاط النهاية 'DELETE /Library/VirtualFolders' و 'POST /Library/VirtualFolders/Name' حتى يتم تطبيق التحديث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾