CVE-2026-35031: ثغرة Path Traversal في رفع الترجمات في Jellyfin تؤدي إلى RCE

TL;DR

ثغرة حرجة من نوع Path Traversal في Jellyfin Media Server تسمح للمستخدمين المصادق عليهم الذين يمتلكون صلاحية "Upload Subtitles" برفع ملفات إلى مواقع عشوائية على القرص. من خلال استغلال حقل Format غير المُتحقق منه في نقطة نهاية رفع الترجمات، يمكن للمهاجمين كتابة ملفات إلى مواقع حساسة، واستخراج بيانات حساسة، وتصعيد الامتيازات، وفي النهاية تنفيذ كود عشوائي بصلاحيات root عبر حقن LD_PRELOAD.

درجة CVSS: 9.9 (حرجة)
الإصدارات المتأثرة: Jellyfin < 10.11.7
الإصدار المُصحح: Jellyfin 10.11.7+
المصادقة مطلوبة: نعم (مستخدم غير مسؤول يمتلك صلاحية رفع الترجمات)
تنفيذ كود عن بُعد: نعم، بصلاحيات root
تعقيد الاستغلال: منخفض

Quick Facts
What is Jellyfin?
Vulnerability Deep Dive
Impact Analysis
Affected Versions
Detection
- Python Scanner
- Nmap NSE Script
Indicators of Compromise
Remediation
References
Author

Quick Facts

What is Jellyfin?

Jellyfin هو خادم وسائط مجاني ومفتوح المصدر مصمم لمساعدتك في إدارة وبث مجموعتك الشخصية من الوسائط. يوفر وظائف مشابهة لخوادم الوسائط التجارية لكن مع شفافية كاملة في الكود المصدري وسيطرة مجتمعية.

Key Features

بث وسائط ذاتي الاستضافة (موسيقى، أفلام، برامج تلفزيونية)
دعم متعدد المستخدمين مع عناصر تحكم دقيقة في الصلاحيات
إدارة الترجمات ومزامنتها
واجهة قائمة على الويب يمكن الوصول إليها عبر HTTP/HTTPS
نشر عبر المنصات (Linux، Windows، macOS)
دعم تنسيقات وسائط وبروتوكولات بث متنوعة

Network Architecture```

                      Jellyfin Media Server (Port 8096)
                     /                |                \
                    /                 |                 \
               Web UI            REST API          Media Streams
              (Browser)        (Authenticated)    (Subtitle Upload)
                                     |
                    /System/Info/Public (unauthenticated)
                    /Videos/{itemId}/Subtitles (vulnerable)
                    /Library/Collections (admin)

Client Devices > Network > Jellyfin Server > Database + Storage | /var/lib/jellyfin/ /etc/ld.so.preload (writable via vulnerability)

---

## تحليل متعمق للثغرة

### تحليل السبب الجذري

توجد الثغرة في نقطة نهاية رفع الترجمات (`/Videos/{itemId}/Subtitles`) التي تقبل تحميل الملفات وتخزنها على القرص. يكمن الخلل الحرج في عدم كفاية التحقق من معامل حقل Format.

#### نمط الكود المعرّض للخطر

تعالج نقطة النهاية عمليات رفع الترجمات دون التحقق بشكل صحيح من حقل Format أو تنظيفه:```
POST /Videos/{itemId}/Subtitles HTTP/1.1
Content-Type: multipart/form-data

[Binary subtitle data]
Format: /../../../etc/ld.so.preload
Language: en

معامل Format يُقصد به تحديد تنسيق الترجمة (srt، vtt، ass، إلخ) لكنه بدلاً من ذلك يُعامل كجزء من مسار الملف:``` Base Path: /var/lib/jellyfin/subtitles/ User Input: /../../../etc/ld.so.preload Result: /var/lib/jellyfin/subtitles/../../../etc/ld.so.preload Resolved: /etc/ld.so.preload (via path traversal)

### تفصيل سلسلة الهجوم

تجمع الثغرة الأمنية بين عدة نقاط ضعف معًا لتحقيق تنفيذ تعليمات برمجية عن بُعد بصلاحيات root:```
Step 1: Subtitle Upload with Path Traversal
        POST /Videos/{itemId}/Subtitles
        Format: /../../../etc/ld.so.preload
                    |
                    v
Step 2: Arbitrary File Write
        Write attacker-controlled data to /etc/ld.so.preload
                    |
                    v
Step 3: File Read via .strm Files
        Create .strm files pointing to sensitive paths
        Extract database contents and credentials
                    |
                    v
Step 4: Database Extraction
        Access /jellyfin/jellyfin.db via .strm
        Extract admin user hashes
                    |
                    v
Step 5: Admin Privilege Escalation
        Reset admin password or create new admin account
                    |
                    v
Step 6: RCE via LD_PRELOAD Injection
        LD_PRELOAD=/path/to/malicious.so java
        Arbitrary code execution as root

آلية اجتياز المسار```

Input Validation Failure:

Format Field Validation: Expected: srt | vtt | ass | ssa | sub | subrip Actual: /../../../etc/ld.so.preload Result: NO VALIDATION > PATH TRAVERSAL ALLOWED

File Write Operation: String Concatenation: "/subtitles/" + user_format + ".srt" | NO CANONICALIZATION: Path component not resolved before write NO WHITELIST: Format values not restricted NO BOUNDS CHECK: ".." sequences not filtered | v Final Path: /etc/ld.so.preload (EXPLOITED)

### استغلال LD_PRELOAD

تقنية LD_PRELOAD هي طريقة قوية لتصعيد الامتيازات وتنفيذ التعليمات البرمجية على أنظمة لينكس:```
LD_PRELOAD Injection Flow:

1. Attacker writes malicious .so (shared object) to /etc/ld.so.preload
   
   /etc/ld.so.preload contents:
   /path/to/attacker.so

2. Java process starts (Jellyfin runs on Java):
   
   kernel > execve("java", ...) > glibc initialization
                                     |
                                     v
                          Check /etc/ld.so.preload
                                     |
                                     v
                          Load attacker.so FIRST
                                     |
                                     v
                          Execute attacker code
                          (BEFORE Java main())

3. Code Execution Context:
   
   Process Owner:   root (Jellyfin typically runs as root)
   Permissions:     Full system access
   Timing:          Before application initialization
   Detection:       Minimal (malicious code runs early)

4. Attacker Capabilities:
   
   > Create reverse shell with full root privileges
   > Extract sensitive data before application starts
   > Modify Java application behavior
   > Persist via cron jobs or systemd services
   > Establish C2 communication

لماذا يعمل LD_PRELOAD كتصعيد```

User Level Access > Path Traversal > Write /etc/ld.so.preload | v (Next process execution) | Kernel reads /etc/ld.so.preload > Loads attacker .so | v Malicious code executes in root context | v Full system compromise

---

## تحليل التأثير

### السرية
**حرجة** - إفشاء كامل للمعلومات
- استخراج قاعدة البيانات: بيانات اعتماد المدير، كلمات مرور المستخدمين، مفاتيح API
- كشف ملفات الترجمة وبيانات تعريف الوسائط
- الوصول إلى ملفات الإعدادات التي تحتوي على بيانات حساسة
- جمع معلومات النظام لاستغلالها بشكل إضافي

### السلامة
**حرجة** - تعديل ملفات على مستوى النظام بالكامل
- كتابة ملفات عشوائية إلى أي موقع على القرص
- تعديل الملفات التنفيذية للتطبيق
- العبث بإعدادات النظام
- تلف قاعدة البيانات أو التلاعب بها

### التوفر
**حرجة** - تعطيل الخدمة ومنعها
- إيقاف تشغيل النظام أو انهياره عبر مكتبة .so خبيثة في LD_PRELOAD
- استنزاف مساحة القرص من خلال كتابة ملفات كبيرة
- إنهاء العمليات أو تجويع الموارد
- عدم توفر الخدمة بشكل كامل

### المكونات المتأثرة
- عملية خادم الوسائط Jellyfin (تعمل بصلاحيات root في معظم عمليات النشر)
- نواة نظام التشغيل والمكتبات
- الوسائط المخزنة وبياناتها الوصفية
- أنظمة مصادقة المستخدمين
- عمليات النظام المرتبطة بـ glibc

### التأثير على الأعمال
- **اختراق البيانات:** جميع بيانات الاعتماد المخزنة وبيانات المستخدمين تم اختراقها
- **انقطاع الخدمة:** يصبح Jellyfin وربما خدمات أخرى غير متاحة
- **الحركة الجانبية:** يصبح النظام المخترق نقطة انطلاق للهجمات على الشبكة
- **انتهاك الامتثال:** انتهاكات GDPR وCCPA وHIPAA إذا تم كشف المعلومات الشخصية القابلة للتعريف (PII)
- **مخاطر سلسلة التوريد:** إذا كان Jellyfin يخدم وسائط مشتركة أو خاصة بالمؤسسات

---

## الإصدارات المتأثرة

| الإصدار | الحالة | ملاحظات |
|---------|--------|-------|
| < 10.8.0 | قابل للاستغلال | الثغرة الأصلية موجودة |
| 10.8.0 - 10.11.6 | قابل للاستغلال | إمكانية اجتياز المسارات وتنفيذ التعليمات البرمجية عن بُعد (RCE) |
| 10.11.7+ | مُصحح | تم التحقق من حقل التنسيق بشكل صحيح |
| 10.12.0+ | مُصحح | أحدث إصدار يتضمن إصلاحات أمنية |

### كشف الإصدار
يمكن كشف الثغرة من خلال التحقق من سلسلة الإصدار من نقطة النهاية `/System/Info/Public`:```
GET /System/Info/Public HTTP/1.1
Host: jellyfin-server:8096

Response:
{
  "ServerName": "MyJellyfin",
  "Version": "10.10.3",  < Vulnerable
  "ProductName": "Jellyfin",
  "StartupWizardCompleted": true
}

الاكتشاف

الماسح الضوئي بلغة بايثون

يوفر سكربت CVE-2026-35031_Jellyfin_RCE_detector.py كشفًا آليًا للثغرات.

التثبيت والمتطلبات```bash

pip install requests urllib3

#### الاستخدام```bash
python CVE-2026-35031_Jellyfin_RCE_detector.py -t 10.0.0.5:8096
python CVE-2026-35031_Jellyfin_RCE_detector.py -t http://10.0.0.0/24
python CVE-2026-35031_Jellyfin_RCE_detector.py -t targets.txt -o results.json

خيارات سطر الأوامر```

-t, --target HOST[:PORT] or CIDR or FILE Single target, IP range, or file with targets -p, --port PORT Custom port (default: 8096) --timeout SECONDS Connection timeout (default: 10) -o, --output FILE Save results to JSON file -v, --verbose Enable verbose logging --no-ssl-verify Disable SSL certificate verification

#### مثال على الإخراج```
[*] CVE-2026-35031 Jellyfin RCE Detection Scanner
[*] Target: http://10.0.0.5:8096
[*] Scan Time: 2026-04-15T12:00:00Z
[*] Detection method: /System/Info/Public version check
[*] Vulnerable: Jellyfin < 10.11.7

======================================================================
Target: http://10.0.0.5:8096
Scan Time: 2026-04-15T12:00:00Z
Risk Level: CRITICAL
======================================================================
  Is Jellyfin:           YES
  Jellyfin Version:      10.10.3
  Server Name:           MediaServer
  Operating System:      Linux
  Subtitle Endpoint:     Accessible
  Vulnerable:            YES

  *** VULNERABLE: Path traversal in subtitle upload ***
  *** Chains to arbitrary file write and RCE as root via ld.so.preload ***
  *** Upgrade to Jellyfin 10.11.7 immediately ***

======================================================================
Summary:
  Total Targets: 1
  Vulnerable: 1
  Patched: 0
  Unknown: 0
======================================================================

منطق الكشف

يقوم الماسح الضوئي بالفحوصات التالية:

اكتشاف الخدمة: يتصل بمنفذ الهدف ويفحص ترويسات HTTP
التحقق من Jellyfin: يستعلم عن نقطة النهاية /System/Info/Public
استخراج الإصدار: يحلل حقل Version من استجابة JSON
تقييم الثغرة: يقارن الإصدار مع إصدار التصحيح (10.11.7)
التحقق من نقطة النهاية: يتأكد من وجود نقطة نهاية رفع الترجمة
حساب المخاطر: يحدد أثر CVSS بناءً على الإصدار

سكربت Nmap NSE

يوفر سكربت CVE-2026-35031_Jellyfin_RCE.nse التكامل مع Nmap لفحص الثغرات.

التثبيت```bash

Copy to Nmap scripts directory

sudo cp CVE-2026-35031_Jellyfin_RCE.nse /usr/share/nmap/scripts/

Update Nmap database

sudo nmap --script-updatedb

#### الاستخدام```bash
# Basic scan
nmap -p 8096 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.5

# Comprehensive scan with service detection
nmap -sV -p 8096 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.5

# Scan entire subnet
nmap -sV -p 8096 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.0/24

# Aggressive scanning with timing
nmap -sV -p- --script CVE-2026-35031_Jellyfin_RCE -T4 10.0.0.5

# Export results to XML
nmap -sV -p 8096 --script CVE-2026-35031_Jellyfin_RCE -oX results.xml 10.0.0.5

مثال على الإخراج```

PORT STATE SERVICE VERSION 8096/tcp open http Jellyfin Media Server 10.10.3 | CVE-2026-35031_Jellyfin_RCE: | VULNERABLE: | Jellyfin Subtitle Path Traversal to RCE (CVE-2026-35031) | State: VULNERABLE | Risk level: CRITICAL | CVSS Score: 9.9 | Jellyfin Version: 10.10.3 | Fixed Version: 10.11.7 | Description: | Jellyfin 10.10.3 is vulnerable to CVE-2026-35031. The subtitle | upload endpoint (/Videos/{itemId}/Subtitles) does not validate | the Format field, allowing path traversal and arbitrary file write. | This chains into remote code execution as root via LD_PRELOAD. | Vulnerability Chain: | 1. POST /Videos/{itemId}/Subtitles with Format=/../../../etc/ld.so.preload | 2. Arbitrary file write to /etc/ld.so.preload | 3. Database extraction via .strm files | 4. Admin privilege escalation | 5. RCE as root via LD_PRELOAD injection | Affected Endpoint: /Videos/{itemId}/Subtitles | Authentication Required: YES (non-admin user) | References: | https://nvd.nist.gov/vuln/detail/CVE-2026-35031 | https://github.com/jellyfin/jellyfin/security/advisories/GHSA-9p5f-5x8v-x65m |_ https://github.com/jellyfin/jellyfin/releases/tag/v10.11.7

#### معلمات السكربت```bash
# Custom timeout for slow networks
nmap --script CVE-2026-35031_Jellyfin_RCE --script-args timeout=30 10.0.0.5

# Debug mode for troubleshooting
nmap --script CVE-2026-35031_Jellyfin_RCE -d 10.0.0.5

# Aggressive version detection
nmap -sV --version-intensity 9 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.5

مؤشرات الاختراق

مؤشرات السجلات

سجلات خادم Jellyfin (/var/log/jellyfin/jellyfin.log)``` [ERR] Error processing subtitle upload: Invalid path characters detected [ERR] Exception in subtitle handling: DirectoryNotFoundException [ERR] Unauthorized file system access attempt [WARN] Unusual subtitle format detected: /../../../ [ERR] Security violation: Path traversal attempt blocked

**سجلات النظام** (`/var/log/syslog` أو `/var/log/messages`)```
subtitle upload process: segmentation fault (core dumped)
kernel: [security] Attempted to load from LD_PRELOAD: /etc/ld.so.preload
ld.so.preload: permission denied or file corrupted
Java process crashed after LD_PRELOAD initialization
Unexpected behavior from root-level Java process

مؤشرات نظام الملفات

ملفات النظام المعدلة``` /etc/ld.so.preload - Should not contain any paths if not configured /lib/x86_64-linux-gnu/ - Look for suspicious .so files created recently /var/lib/jellyfin/subtitles - Check for files outside normal naming /etc/passwd - Verify no unauthorized access or modification /var/lib/jellyfin/db - Database timestamps may indicate extraction

**مسارات الملفات المشبوهة في دليل الترجمة**```
/../../../etc/ld.so.preload
/../../../root/.ssh/authorized_keys
/../../../var/lib/jellyfin/jellyfin.db
../../../proc/self/environ

مؤشرات الشبكة

طلبات HTTP المشبوهة``` POST /Videos/[0-9]+/Subtitles

Format parameter contains: /.. or ..\ patterns
Format parameter contains absolute paths starting with /
Format parameter does not match known subtitle formats

Encoded Payloads: %2e%2e%2f (URL encoded ../) ..%252f (Double encoded ../) ....// (Bypass patterns)

**الاتصالات الصادرة من عملية Jellyfin**```
Reverse shells to external IPs
Connections to known C2 infrastructure
DNS requests to anomalous domains
Sudden spike in network traffic after failed subtitle upload

مؤشرات العملية

حالات شاذة في عملية Jellyfin``` java process executing system commands java process spawning shell processes (/bin/bash, /bin/sh) java process opening connections to unusual ports java process reading system files like /etc/shadow Unusual CPU or memory usage spikes Child processes with different UID than parent

### مؤشرات قاعدة البيانات

**تغييرات قاعدة بيانات Jellyfin** (`jellyfin.db`)```
New admin user created outside normal workflow
Admin password changed without admin action
API keys/tokens created unexpectedly
Unusual activity in audit logs

المعالجة

إجراءات فورية (الأولوية: حرجة)

قم بترقية Jellyfin فورًا ```bash

Docker deployment

docker pull jellyfin/jellyfin:latest docker-compose down docker-compose up -d

Package manager (Ubuntu/Debian)

sudo apt-get update sudo apt-get install --only-upgrade jellyfin

Package manager (Fedora/RHEL)

sudo dnf upgrade jellyfin
إيقاف خدمة Jellyfin ```bash sudo systemctl stop jellyfin
التحقق من الاستغلال ```bash

Check if ld.so.preload was modified

ls -la /etc/ld.so.preload cat /etc/ld.so.preload

Check subtitle directory for suspicious files

find /var/lib/jellyfin/subtitles -type f -newer /proc -ls

Check Jellyfin data directory

find /var/lib/jellyfin -type f -newermt "2026-04-14" -ls

التخفيفات قصيرة المدى (الأولوية: عالية)

تقييد صلاحية رفع الترجمة ``` Jellyfin Web UI > Settings > Users Disable "Upload Subtitles" for all non-admin users Review all users with this permission
تقسيم الشبكة ```

Only allow trusted networks to access Jellyfin

sudo ufw allow from 192.168.1.0/24 to any port 8096 sudo ufw deny from any to any port 8096
أذونات نظام الملفات ```bash

Ensure Jellyfin runs with minimal privileges

sudo usermod -s /usr/sbin/nologin jellyfin

Restrict ld.so.preload permissions

sudo chmod 644 /etc/ld.so.preload sudo chmod 644 /etc/ld.so.conf

Set proper permissions on Jellyfin directory

sudo chown -R jellyfin:jellyfin /var/lib/jellyfin sudo chmod 750 /var/lib/jellyfin
راقب محاولات الاستغلال ```bash

Watch subtitle upload endpoint logs

التحصين على المدى الطويل (الأولوية: متوسطة)

تنفيذ جدار حماية تطبيقات الويب (WAF) ``` Block requests containing:
- Path traversal patterns: ../ ..\ ..\
- Suspicious file paths: /etc/ /root/ /proc/
- Encoded variations: %2e%2e%2f
تفعيل وحدة الأمان ```bash

AppArmor (Ubuntu/Debian)

sudo aa-enforce /etc/apparmor.d/usr.bin.java

SELinux (Fedora/RHEL)

sudo semanage fcontext -a -t jellyfin_home_t "/var/lib/jellyfin(/.*)?" sudo restorecon -R /var/lib/jellyfin
تشغيل Jellyfin كمستخدم غير root ```bash

Create dedicated user if not exists

sudo useradd -r -s /usr/sbin/nologin jellyfin

Update systemd service

sudo sed -i 's/User=.*/User=jellyfin/' /etc/systemd/system/jellyfin.service sudo systemctl daemon-reload sudo systemctl restart jellyfin
تنفيذ النسخ الاحتياطي المنتظم ```bash

Automated daily backups

sudo crontab -e

0 2 * * * /usr/local/bin/jellyfin-backup.sh

خطوات التحقق```bash

1. Verify Jellyfin version after upgrade

curl -s http://localhost:8096/System/Info/Public | jq .Version

2. Confirm no unauthorized ld.so.preload entries

cat /etc/ld.so.preload | wc -l # Should be 0 or contain only legitimate entries

3. Check Jellyfin process permissions

ps aux | grep jellyfin | grep -v grep

4. Verify subnet connectivity restrictions

sudo ufw status

5. Test subtitle upload with non-admin user (should work normally)

Try uploading a legitimate .srt file and confirm it's stored correctly

---

## المراجع

### المصادر الرسمية
- **قيد NVD:** https://nvd.nist.gov/vuln/detail/CVE-2026-35031
- **استشارة GitHub:** https://github.com/jellyfin/jellyfin/security/advisories/GHSA-9p5f-5x8v-x65m
- **إصدار Jellyfin v10.11.7:** https://github.com/jellyfin/jellyfin/releases/tag/v10.11.7
- **توثيق Jellyfin:** https://docs.jellyfin.org

### الثغرات والأبحاث ذات الصلة
- CWE-22: اجتياز المسار - https://cwe.mitre.org/data/definitions/22.html
- استغلال LD_PRELOAD: https://www.gnu.org/software/libc/manual/html_node/Dynamic-Linker.html
- أنماط تصعيد الامتيازات في عمليات Java
- مواصفات تنسيق ملفات الترجمة (معايير RFC)

### الأدوات والموارد الأمنية
- Nmap: https://nmap.org
- Metasploit Framework: https://www.metasploit.com
- دليل OWASP لاجتياز المسار: https://owasp.org/www-community/attacks/Path_Traversal

---

## المؤلف

**اكتُشفت الثغرة ووُثّقت بواسطة:**

**Kerem Oruc** (@keraattin)
- GitHub: https://github.com/keraattin
- Twitter/X: https://twitter.com/keraattin

### المساهمة

إذا كانت لديك تحسينات على هذه الوثائق أو أدوات الكشف، فيرجى تقديم طلب سحب (pull request) أو فتح مشكلة (issue).

---

**إخلاء مسؤولية:** هذه الوثيقة مخصصة للأغراض التعليمية واختبار الأمان المصرح به فقط. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني. احصل دائمًا على التصريح المناسب قبل إجراء التقييمات الأمنية.

**آخر تحديث:** 2026-04-15 | **الحالة:** منشور

---

CVE ID	CVE-2026-35031
درجة CVSS	9.9 (حرجة)
CWE	CWE-22: التقييد غير السليم لاسم المسار إلى دليل مقيد ('Path Traversal')
المنتج المتأثر	Jellyfin Media Server
الإصدارات المتأثرة	< 10.11.7
الإصدار المُصحح	10.11.7 والإصدارات الأحدث
نوع الثغرة	Path Traversal + كتابة ملفات عشوائية + RCE
المصادقة مطلوبة	نعم (مستخدم غير مسؤول)
الصلاحيات المطلوبة	صلاحية "Upload Subtitles"
المنفذ الافتراضي	8096/TCP
استشارة GitHub	GHSA-9p5f-5x8v-x65m
حالة التصحيح	متاح وتم إصداره
الاستغلال العام	نعم

CVE-2026-35031

الأكثر شعبية

Monitor system logs for ld.so.preload changes

Verify backup integrity

Log all file access to sensitive locations

Monitor process execution from Jellyfin

CVE-2026-35031

الأكثر شعبية

CVE-2026-35031: ثغرة Path Traversal في رفع الترجمات في Jellyfin تؤدي إلى RCE

TL;DR

Table of Contents

Quick Facts

What is Jellyfin?

Key Features

Network Architecture```

آلية اجتياز المسار```

لماذا يعمل LD_PRELOAD كتصعيد```

الاكتشاف

الماسح الضوئي بلغة بايثون

التثبيت والمتطلبات```bash

خيارات سطر الأوامر```

منطق الكشف

سكربت Nmap NSE

التثبيت```bash

Copy to Nmap scripts directory

Update Nmap database

مثال على الإخراج```

مؤشرات الاختراق

مؤشرات السجلات

مؤشرات نظام الملفات

مؤشرات الشبكة

مؤشرات العملية

المعالجة

إجراءات فورية (الأولوية: حرجة)

Docker deployment

Package manager (Ubuntu/Debian)

Package manager (Fedora/RHEL)

Check if ld.so.preload was modified

Check subtitle directory for suspicious files

Check Jellyfin data directory

التخفيفات قصيرة المدى (الأولوية: عالية)

Only allow trusted networks to access Jellyfin

Ensure Jellyfin runs with minimal privileges

Restrict ld.so.preload permissions

Set proper permissions on Jellyfin directory

Watch subtitle upload endpoint logs

التحصين على المدى الطويل (الأولوية: متوسطة)

AppArmor (Ubuntu/Debian)

SELinux (Fedora/RHEL)

Create dedicated user if not exists

Update systemd service

Automated daily backups

0 2 * * * /usr/local/bin/jellyfin-backup.sh