Vulnerabilidad en Jellyfin (CVE-2026-35032)

Gravedad CVSS v4.0:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

14/04/2026

Última modificación:

24/07/2026

Descripción

Jellyfin es un servidor multimedia de código abierto autoalojado. Las versiones anteriores a la 10.11.7 contienen una cadena de vulnerabilidades en el punto final del sintonizador M3U de LiveTV (POST /LiveTv/TunerHosts), donde la URL del sintonizador no se valida, permitiendo la lectura de archivos locales a través de rutas que no son HTTP y la falsificación de petición del lado del servidor (SSRF) a través de URL HTTP. Esto es explotable por cualquier usuario autenticado porque el permiso EnableLiveTvManagement se establece en verdadero por defecto para todos los usuarios nuevos. Un atacante puede encadenar estas vulnerabilidades añadiendo un sintonizador M3U que apunte a un servidor controlado por el atacante, sirviendo un M3U manipulado con un canal que apunte a la base de datos de Jellyfin, exfiltrando la base de datos para extraer tokens de sesión de administrador y escalando a privilegios de administrador. Este problema ha sido solucionado en la versión 10.11.7. Si los usuarios no pueden actualizar inmediatamente, pueden deshabilitar los privilegios de gestión de Live TV para todos los usuarios.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.60 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Ninguno
Confidentiality (SC): Bajo
Integrity (SI): Bajo
Availability (SA): Ninguno

Puntuación base 4.0

8.60

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno