प्लेटफ़ॉर्म
other
घटक
jellystat
में ठीक किया गया
1.1.4
Jellystat एक मुफ्त और ओपन-सोर्स सांख्यिकी ऐप है जो Jellyfin के लिए है। प्रभावित संस्करणों में, Jellystat सीधे रूट(s) में उपयोगकर्ता इनपुट का उपयोग करता है, जिससे पथ पारगमन भेद्यता हो सकती है। यह भेद्यता केवल व्यवस्थापकों के लिए है, लेकिन DELETE files/:filename फ़ंक्शन का उपयोग करके कोई भी फ़ाइल हटाई जा सकती है। संस्करण 1.1.3 में इस समस्या का समाधान किया गया है।
यह पथ पारगमन भेद्यता Jellystat के व्यवस्थापकों के लिए एक महत्वपूर्ण जोखिम प्रस्तुत करती है। एक हमलावर DELETE files/:filename एंडपॉइंट का उपयोग करके Jellystat इंस्टॉलेशन पर किसी भी फ़ाइल को हटा सकता है। यह डेटा हानि, सिस्टम अस्थिरता और संभावित रूप से Jellyfin मीडिया सर्वर के कामकाज में व्यवधान का कारण बन सकता है। चूंकि यह भेद्यता केवल व्यवस्थापकों के लिए है, इसलिए इसका दायरा सीमित है, लेकिन एक सफल हमलावर को महत्वपूर्ण क्षति पहुँचाने की क्षमता है। इस भेद्यता का शोषण करने के लिए, हमलावर को पहले Jellystat व्यवस्थापक खाते तक पहुंच प्राप्त करने की आवश्यकता होगी।
यह भेद्यता सार्वजनिक रूप से 2025-02-03 को प्रकाशित हुई थी। अभी तक सक्रिय शोषण के कोई ज्ञात मामले नहीं हैं, लेकिन भेद्यता की प्रकृति को देखते हुए, इसका शोषण किया जा सकता है। यह KEV में सूचीबद्ध नहीं है। सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कॉन्सेप्ट (PoC) मौजूद नहीं हैं, लेकिन भेद्यता का शोषण करने के लिए आवश्यक तकनीक अपेक्षाकृत सरल है।
Administrators of Jellyfin instances using Jellystat versions prior to 1.1.3 are at risk. Shared hosting environments where Jellyfin and Jellystat are installed could also be vulnerable if the administrator account is compromised.
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.19% (41% शतमक)
CISA SSVC
CVSS वेक्टर
इस भेद्यता को कम करने का सबसे प्रभावी तरीका Jellystat को संस्करण 1.1.3 या बाद के संस्करण में अपग्रेड करना है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, फ़ाइल सिस्टम स्तर पर फ़ाइलों तक पहुंच को प्रतिबंधित करने के लिए फ़ायरवॉल नियमों को लागू किया जा सकता है। इसके अतिरिक्त, Jellystat इंस्टॉलेशन को एक अलग नेटवर्क सेगमेंट में अलग करने से हमले की सतह को कम करने में मदद मिल सकती है। सुनिश्चित करें कि Jellystat व्यवस्थापक खाते मजबूत पासवर्ड का उपयोग करते हैं और नियमित रूप से बदलते हैं। अपग्रेड के बाद, यह सत्यापित करें कि फ़ाइलें अनधिकृत पहुंच से सुरक्षित हैं।
Actualice Jellystat a la versión 1.1.3 o superior. Esta versión corrige la vulnerabilidad de path traversal. La actualización se puede realizar a través de los canales de distribución habituales de Jellystat.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2025-24960 Jellystat में एक पथ पारगमन भेद्यता है जो हमलावरों को किसी भी फ़ाइल को हटाने की अनुमति देती है।
यदि आप Jellystat के संस्करण 1.1.3 से पहले के संस्करण का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
Jellystat को संस्करण 1.1.3 या बाद के संस्करण में अपग्रेड करें।
अभी तक सक्रिय शोषण के कोई ज्ञात मामले नहीं हैं, लेकिन भेद्यता का शोषण किया जा सकता है।
आधिकारिक सलाहकार Jellystat वेबसाइट पर उपलब्ध होना चाहिए।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।