Vulnerabilidad en Jellystat de CyferShepard (CVE-2026-41167)

Jellystat es una aplicación de estadísticas gratuita y de código abierto para Jellyfin. Antes de la versión 1.1.10, múltiples puntos finales de la API en Jellystat construyen consultas SQL interpolando campos no saneados del cuerpo de la solicitud directamente en cadenas SQL sin procesar. Un usuario autenticado puede inyectar SQL arbitrario a través de ’POST /api/getUserDetails’ y ’POST /api/getLibrary’, permitiendo la lectura completa de cualquier tabla en la base de datos, incluyendo ’app_config’, que almacena las credenciales de administrador de Jellystat, la clave API de Jellyfin y la URL del host de Jellyfin. Debido a que el sitio de llamada vulnerable se despacha a través del protocolo de consulta simple de ’node-postgres’ (no se pasa ningún array de parámetros), se permiten consultas apiladas, lo que escala la inyección de divulgación de datos a ejecución de comandos arbitrarios en el host de PostgreSQL a través de ’COPY ... TO PROGRAM’. Bajo el rol enviado por el ’docker-compose.yml’ del proyecto (un superusuario de PostgreSQL), no se requieren privilegios adicionales para alcanzar la primitiva RCE. La versión 1.1.10 contiene una corrección.