Jellyfin: Path Traversal in Endpunkten für virtuelle Bibliotheksordner

Zusammenfassung

Jellyfin vor 12.0 enthält eine Path-Traversal-Schwachstelle in den Endpunkten DELETE /Library/VirtualFolders und POST /Library/VirtualFolders/Name, da Bibliotheksnamen nicht validiert werden. Vor Abschluss der Ersteinrichtung können nicht authentifizierte Angreifer Namen wie '..' oder absolute Pfade angeben, um das Datenverzeichnis und jellyfin.db rekursiv zu löschen oder Verzeichnisse zu verschieben. Die Hauptauswirkung ist ein Verlust von Daten und Integrität sowie eine Denial-of-Service-Situation.

Betroffen

• Jellyfin-Versionen vor 12.0 (CVE-Eintrag: betroffen 0 bis < 12.0)

Behoben in

• Jellyfin 12.0 oder neuer
• Unbekannt, ob ein 10.11.x-Release die Korrektur enthält.

Umgehung

• Den Einrichtungsassistenten unmittelbar nach der Installation abschliessen.
• Den Server erst dann aus dem Internet erreichbar machen, wenn die Einrichtung abgeschlossen ist und Version 12.0 oder neuer läuft.
• Das Datenverzeichnis vor jedem Upgrade sichern.

Ausnutzung

Unbekannt. Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Prüfen, ob eine Jellyfin-Instanz aus dem Internet erreichbar ist, insbesondere neue oder nicht fertig eingerichtete Installationen.
• Auf Jellyfin 12.0 oder neuer aktualisieren, idealerweise auf die aktuelle stabile Version.
• Das Datenverzeichnis vor dem Upgrade sichern, da Datenbankänderungen in Version 12.0 ein einfaches Zurückrollen verhindern können.
• Den Server auf unerwartete Löschungen oder Änderungen an Bibliotheksordnern und der Datenbank überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record: Jellyfin GitHub advisory GHSA-6828-c7cx-hvqm github.com
• Jellyfin 12.0 release github.com
• VulnCheck advisory: Jellyfin before 12.0 path traversal www.vulncheck.com
• Jellyfin fix commit 0c560b22 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:23.