CVE-2026-41167: Injeção de SQL no Jellystat via campos do corpo da requisição

Visão geral

O Jellystat é uma aplicação de estatísticas para o Jellyfin. De acordo com o aviso publicado no GitHub, diversos endpoints da API nas versões anteriores à 1.1.10 montam consultas SQL inserindo campos do corpo da requisição sem sanitização, um padrão clássico de injeção de SQL mapeado como CWE-89.

Impacto

Um usuário autenticado pode ler qualquer tabela do banco, incluindo a tabela de configuração que guarda credenciais de administrador, a chave de API do Jellyfin e a URL do host Jellyfin.
O aviso afirma que a injeção pode ser escalonada para execução de comandos no host PostgreSQL, sob a role do banco distribuída no arquivo compose do projeto, que é uma role de superusuário.
A pontuação base CVSS 3.1 é 9.1 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade e escopo alterado.

Produtos e versões afetados

Versões do Jellystat anteriores à 1.1.10, segundo o texto do aviso.
O registro não traz intervalos de versões afetadas estruturados, por isso a lista de produtos afetados está vazia nos dados.
A versão 1.1.10 é identificada como a que contém a correção. Níveis intermediários de patch não são enumerados.

Status de exploração

A vulnerabilidade não consta no catálogo CISA KEV no registro analisado.
Nenhuma exploração ativa confirmada ou explorada na natureza aparece nas fontes consultadas.
No momento do registro, o EPSS indica probabilidade de 0,00933 e percentil de 0,59712.

Correção e mitigação

Atualize o Jellystat para a versão 1.1.10 ou posterior, conforme indicado pelo aviso e pelo commit referenciado.
Enquanto a atualização não for aplicada, restrinja o acesso à aplicação a usuários confiáveis e revise as contas existentes.
Se houver suspeita de exposição, troque as credenciais de administrador do Jellystat, a chave de API do Jellyfin e quaisquer credenciais de banco, já que o aviso indica que esses valores ficam em uma tabela legível.
Quando a implantação permitir, use roles de banco da aplicação com o mínimo de privilégios necessário, como medida de defesa em profundidade.

Orientação para detecção

Revise os logs da aplicação e do proxy reverso em busca de requisições incomuns aos endpoints afetados, especialmente cargas com estrutura inesperada ou caracteres incomuns nos campos.
Monitore o banco em busca de leituras inesperadas de tabelas de configuração e de operações administrativas ou de nível de sistema iniciadas pela role da aplicação.
Verifique alterações inesperadas nas configurações do Jellystat e a criação de novas contas administrativas.

Limitações das informações disponíveis

O registro mostra o status da fonte como Deferred e não explica como a severidade foi avaliada além do vetor CVSS.
O vetor especifica privilégios altos necessários (PR:H), enquanto a descrição fala em usuário autenticado. O nível exato de privilégio exigido deve ser confirmado no aviso.
Os limites precisos das versões afetadas, os detalhes completos da correção e a existência de prova de conceito pública não são estabelecidos no registro.

Perguntas frequentes

Quais versões são afetadas?

O registro indica que versões do Jellystat anteriores à 1.1.10 são afetadas. A lista estruturada de afetados está vazia, então os limites exatos de versão não são confirmados além dessa afirmação.

Há registro de exploração dessa vulnerabilidade?

O registro não a lista no CISA KEV e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

O que os administradores devem fazer?

Atualizar para a versão 1.1.10 ou posterior, restringir o acesso a usuários confiáveis e trocar as credenciais armazenadas caso haja suspeita de exposição.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.