CVE-2026-35031
Jellyfin: Potencial RCE via path traversal no upload de legendas + cadeia .strm
- Publicado
- 14 de abr. de 2026
- Atualizado
- 16 de abr. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 28 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 59,6%
- Data do modelo
- 17 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Jellyfin é um servidor de mídia de código aberto auto-hospedado. As versões anteriores a 10.11.7 contêm uma cadeia de vulnerabilidades no endpoint de upload de legendas (POST /Videos/{itemId}/Subtitles), onde o campo Format não é validado, permitindo path traversal por meio da extensão do arquivo e possibilitando a escrita arbitrária de arquivos. Essa escrita arbitrária de arquivos pode ser encadeada em leitura arbitrária de arquivos por meio de arquivos .strm, extração de banco de dados, escalonamento de privilégios de administrador e, por fim, execução remota de código como root via ld.so.preload. A exploração requer uma conta de administrador ou um usuário ao qual tenha sido explicitamente concedida a permissão "Upload Subtitles". Este problema foi corrigido na versão 10.11.7. Se os usuários não puderem atualizar imediatamente, eles podem conceder permissões de upload de legendas a usuários não administradores para reduzir a superfície de ataque.
Fontes
- CVE-2026-35031Exploit
Vulnerabilidade crítica de path traversal para RCE no Jellyfin Media Server (CVSS 9.9). Inclui exploit de prova de conceito, análise técnica e ferramentas de detecção.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.