| Title | jellyfinにおける複数の脆弱性 |
|---|---|
| Summary | Jellyfinはオープンソースのセルフホスト型メディアサーバーです。バージョン10.11.7より前のバージョンには、LiveTVのM3Uチューナーエンドポイント（POST /LiveTv/TunerHosts）に脆弱性チェーンが存在します。ここではチューナーのURLが検証されないため、HTTP以外のパスを介してローカルファイルを読み取ったり、HTTP URLを介してサーバーサイドリクエストフォージェリ（SSRF）を行ったりできます。この脆弱性は、EnableLiveTvManagement権限が全ての新規ユーザーにデフォルトでtrueに設定されているため、認証済みのユーザーであれば誰でも悪用できます。攻撃者は、自身が管理するサーバーを指すM3Uチューナーを追加し、Jellyfinのデータベースを指すチャンネルを含む細工されたM3Uを提供します。そして、データベースから管理者のセッショントークンを抽出し、管理者権限に昇格します。このようにして脆弱性を連鎖的に悪用できます。この問題はバージョン10.11.7で修正されました。ユーザーがすぐにアップグレードできない場合は、すべてのユーザーのLive TV管理権限を無効にすることで対処できます。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | April 14, 2026, midnight |
| Registration Date | April 24, 2026, 11:44 a.m. |
| Last Update | April 24, 2026, 11:44 a.m. |
| CVSS3.0 : 重要 | |
| Score | 8.1 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| jellyfin |
| jellyfin 10.11.7 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年04月24日] 掲載 |
April 24, 2026, 11:44 a.m. |
| Summary | Jellyfin is an open source self hosted media server. Versions prior to 10.11.7 contain a vulnerability chain in the LiveTV M3U tuner endpoint (POST /LiveTv/TunerHosts), where the tuner URL is not validated, allowing local file read via non-HTTP paths and Server-Side Request Forgery (SSRF) via HTTP URLs. This is exploitable by any authenticated user because the EnableLiveTvManagement permission defaults to true for all new users. An attacker can chain these vulnerabilities by adding an M3U tuner pointing to an attacker-controlled server, serving a crafted M3U with a channel pointing to the Jellyfin database, exfiltrating the database to extract admin session tokens, and escalating to admin privileges. This issue has been fixed in version 10.11.7. If users are unable to upgrade immediately, they can disable Live TV Management privileges for all users. |
|---|---|
| Publication Date | April 15, 2026, 8:16 a.m. |
| Registration Date | April 15, 2026, 11:42 a.m. |
| Last Update | April 23, 2026, 11:03 p.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:jellyfin:jellyfin:*:*:*:*:*:*:*:* | 10.11.7 | ||||