Jellyfin versión anterior a 12.0 contiene una vulnerabilidad de path traversal en los endpoints DELETE /Library/VirtualFolders y POST /Library/VirtualFolders/Name. Atacantes no autenticados pueden enviar nombres como '..' o paths absolutos antes de que la configuración se complete, lo que permite borrar recursivamente el directorio de datos y la base de datos jellyfin.db.
La vulnerabilidad tiene un CVSS de 7.4 (alto) y aunque Shodan no reporta hosts expuestos actualmente, representa un riesgo crítico para instalaciones de Jellyfin sin actualizar.
| CVE | CVE-2026-126499 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.4 / 10 |
| CWE | CWE-22 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Jellyfin 12.0
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
T1083 – File and Directory Discovery
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.