概述
CVE-2025-64178 - Jellysweep在图像缓存API端点中使用未受控数据
漏洞描述
Jellysweep是Jellyfin媒体服务器的清理工具。在0.12.1及以下版本中，用于从服务器下载媒体海报的/api/images/cache端点接受一个URL参数，该参数直接传递给缓存包，缓存包从此URL下载海报。此URL参数可用于使Jellysweep服务器下载任意内容。该API端点只能由认证用户使用。此问题已在0.13.0版本中修复。
技术详情
CVSS评分
- 评分: 8.9
- 版本: CVSS 4.0
- 严重程度: 高危
- 远程利用: 是
受影响产品
- Jellysweep 0.12.1及以下版本
漏洞类型
- CWE-918: 服务器端请求伪造(SSRF)
攻击模式
- CAPEC-664: 服务器端请求伪造
解决方案
- 更新Jellysweep到版本0.13.0或更高版本
- 限制访问
/api/images/cache端点
参考资源
时间线
- 发布日期: 2025年11月6日
- 最后修改: 2025年11月6日
- 来源: security-advisories@github.com
公开利用
GitHub上已有1个公开的概念验证/利用代码可用。