JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-012526 Jellyfinはオープンソースのセルフホスト型メディアサーバーです。バージョン10.11.7より前のバージョンには、LiveTVのM3Uチューナーエンドポイント（POST /LiveTv/TunerHosts）に脆弱性チェーンが存在します。ここではチューナーのURLが検証されないため、HTTP以外のパスを介してローカルファイルを読み取ったり、HTTP URLを介してサーバーサイドリクエストフォージェリ（SSRF）を行ったりできます。この脆弱性は、EnableLiveTvManagement権限が全ての新規ユーザーにデフォルトでtrueに設定されているため、認証済みのユーザーであれば誰でも悪用できます。攻撃者は、自身が管理するサーバーを指すM3Uチューナーを追加し、Jellyfinのデータベースを指すチャンネルを含む細工されたM3Uを提供します。そして、データベースから管理者のセッショントークンを抽出し、管理者権限に昇格します。このようにして脆弱性を連鎖的に悪用できます。この問題はバージョン10.11.7で修正されました。ユーザーがすぐにアップグレードできない場合は、すべてのユーザーのLive TV管理権限を無効にすることで対処できます。 cpe:/a:jellyfin:jellyfin https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-012526.html Common Vulnerabilities and Exposures (CVE) CVE-2026-35032 https://www.cve.org/CVERecord?id=CVE-2026-35032 National Vulnerability Database (NVD) CVE-2026-35032 https://nvd.nist.gov/vuln/detail/CVE-2026-35032 GitHub Potential SSRF + Arbitrary file read via LiveTV M3U tuner Advisory jellyfin/jellyfin GitHub https://github.com/jellyfin/jellyfin/security/advisories/GHSA-8fw7-f233-ffr8 JVNDB CWE-918 https://cwe.mitre.org/data/definitions/918.html JVNDB CWE-73 https://cwe.mitre.org/data/definitions/73.html 関連文書 Release 10.11.7 jellyfin/jellyfin GitHub https://github.com/jellyfin/jellyfin/releases/tag/v10.11.7 2026-04-24T11:44:02+09:00 2026-04-24T11:44:02+09:00