Jellyfin through 12.4 Information Disclosure via GET /Playlists/{playlistId}

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Jellyfin through 12.4 contains an information disclosure vulnerability in PlaylistsController.GetPlaylist that allows authenticated users to read hidden item IDs by requesting public or shared playlists. Restricted or parental-controlled users can obtain GUIDs of inaccessible library items from unfiltered playlist ItemIds and then stream that hidden media.

Etkilenen sürümler1 yazılım

Kaynaklar7 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…llyfin/security/advisories/GHSA-9x85-gx46-6522 Üretici bülteni
• abraxaslabs.tech/research/jellyfin-playlist-itemids Üçüncü taraf
• vulncheck.com/…mation-disclosure-via-get-playlists-playlistid Üçüncü taraf
• github.com/…ellyfin.Api/Controllers/PlaylistsController.cs Diğer
• github.com/jellyfin/jellyfin Diğer

Kayıt geçmişi

1. 30 Eki 2026 14:31Yayımlandı

İlgili açıklar

• 6,5 CVE-2026-119551Jellyfin through 12.4 Authorization Bypass via GET /Items/Suggestions
• 7,1 CVE-2026-119549Jellyfin profil resimlerinde SVG doğrulama atlatılarak SSRF açığı
• 6,5 CVE-2026-103997Redux Framework <= 4.5.15 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via…
• 4,3 CVE-2025-11455Perfect Images <= 7.2.0 - Missing Authorization to Authenticated (Author+) Image Replacement
• 5,9 CVE-2026-110023WP Data Access <= 5.5.88 - Missing Authorization to Unauthenticated Sensitive Information Exposure via 'rel_tab' Parameter
• 5,3 CVE-2026-11396Product Filter for WooCommerce by WBW <= 3.4.6 - Missing Authorization to Unauthenticated Information Disclosure via filterSettings[default_query] Parameter