CVE-2026-49220— Jellyfin 用户管理潜在 XSS 漏洞
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-49220の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Jellyfin: Potential XSS in user management
ソース: NVD (National Vulnerability Database)
脆弱性説明
Jellyfin is an open source self hosted media server. Prior to 10.11.9, a potential XSS attack exists in Jellyfin which can allow a non-privileged user to execute arbitrary Javascript in the context of a logged-in Administrative user, resulting in numerous potential issues. The Client header during an AuthenticateByName can contain arbitrary HTML and Javascript, which will then be executed by the Administrative user when visiting the Access tab of the user in question from within the dashboard. This vulnerability is fixed in 10.11.9.
ソース: NVD (National Vulnerability Database)
CVSS情報
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
ソース: NVD (National Vulnerability Database)
影響を受ける製品
II. CVE-2026-49220の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-49220のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-49220 其他参考 (1)
- 🔗 Potential XSS in user management · Advisory · jellyfin/jellyfin · GitHubx_refsource_CONFIRM
Same Patch Batch · jellyfin · 2026-06-24 · 4 CVEs total
| CVE-2026-48793 | 8.8 HIGH | Jellyfin: Potential FFmpeg argument injection via unescaped subtitle file path |
| CVE-2026-49247 | 8.8 HIGH | Jellyfin: Potential Authenticated path traversal in /ClientLog/Document |
| CVE-2026-49246 | Jellyfin: Potential MKV attachment filename path traversal to RCE |
IV. 関連脆弱性
同じ製品: jellyfin
- CVE-2026-48793
Jellyfin: Potential FFmpeg argument injection via unescaped - CVE-2026-49246
Jellyfin: Potential MKV attachment filename path traversal t - CVE-2026-49247
Jellyfin: Potential Authenticated path traversal in /ClientL - CVE-2026-35034
Jellyfin: Potential Application DoS from excessively large S - CVE-2026-35033
Jellyfin: Potential SSRF + Arbitrary file read via stream ar
同じベンダー: jellyfin
- CVE-2026-48793
Jellyfin: Potential FFmpeg argument injection via unescaped - CVE-2026-49246
Jellyfin: Potential MKV attachment filename path traversal t - CVE-2026-49247
Jellyfin: Potential Authenticated path traversal in /ClientL - CVE-2026-35034
Jellyfin: Potential Application DoS from excessively large S - CVE-2026-35033
Jellyfin: Potential SSRF + Arbitrary file read via stream ar
同じ弱点: CWE-79
- CVE-2026-57656
WordPress Hester Core plugin <= 1.1.8 - Cross Site Scripting - CVE-2026-57651
WordPress Ghost Kit plugin <= 3.6.0 - Cross Site Scripting ( - CVE-2026-57650
WordPress Magazine Blocks plugin <= 1.8.3 - Cross Site Scrip - CVE-2026-57638
WordPress Fluent Booking plugin <= 2.1.0 - Cross Site Script - CVE-2026-57629
WordPress StatCounter plugin <= 2.1.1 - Cross Site Scripting
V. CVE-2026-49220へのコメント
まだコメントはありません