CVE-2026-41167

Jellystat는 Jellyfin을 위한 무료 오픈 소스 통계 앱입니다. 버전 1.1.10 이전에는 Jellystat의 여러 API 엔드포인트가 정리되지 않은 요청 본문 필드를 원시 SQL 문자열에 직접 삽입하여 SQL 쿼리를 작성했습니다. 인증된 사용자는 POST /api/getUserDetails 및 POST /api/getLibrary를 통해 임의의 SQL을 주입하여 Jellystat 관리자 자격 증명, Jellyfin API 키 및 Jellyfin 호스트 URL을 저장하는 app_config를 포함하여 데이터베이스의 모든 테이블을 완전히 읽을 수 있습니다. 취약한 호출 사이트는 node-postgres의 단순 쿼리 프로토콜(매개변수 배열이 전달되지 않음)을 통해 전달하기 때문에 누적 쿼리가 허용되며, 이는 데이터 공개에서 COPY ... TO PROGRAM을 통해 PostgreSQL 호스트의 임의 명령 실행으로 주입을 확대합니다. 프로젝트의 docker-compose.yml(PostgreSQL 수퍼유저)이 제공하는 역할에서는 RCE 기본 요소에 도달하는 데 추가 권한이 필요하지 않습니다. 버전 1.1.10에는 수정 사항이 포함되어 있습니다.