FreeBSD: jellyfin -- 複数の脆弱性 (4ee322e9-e363-11ed-b934-b42e991fc52e)

high Nessus プラグイン ID 174724

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、4ee322e9-e363-11ed-b934-b42e991fc52e のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- Jellyfin は、フリーソフトウェアのメディアシステムです。10.8.0 で始まる 10.8.10 より前のバージョンには、「ClientLogController」、特に「/ClientLog/Document」内にディレクトリトラバーサルの脆弱性があります。クロスサイトスクリプティングの脆弱性 (CVE-2023-30627) と組み合わせると、ファイルの書き込みや任意のコードの実行を引き起こす可能性があります。バージョン 10.8.10 には、この問題に対するパッチがあります。既知の回避策はありません。(CVE-2023-30626)

- jellyfin-web は、フリーソフトウェアのメディアシステムである Jellyfin 用の Web クライアントです。バージョン 10.1.0 以降およびバージョン 10.8.10 以前では、device.js に保存されているクロスサイトスクリプティングの脆弱性を利用して、管理者権限で「REST」エンドポイントに任意の呼び出しを行う可能性があります。CVE-2023-30626 と組み合わせると、Jellyfin インスタンスを実行しているユーザーのコンテキストでリモートコードが実行されます。
この問題には、バージョン 10.8.10 でパッチが適用されています。既知の回避策はありません。(CVE-2023-30627)

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。