Schließen der schweren Sicherheitslücken bei Jellyfin-App

ForenSeil · June 8, 2026 at 10:30 PM

Moin!

Die derzeit nich "aktuelle" 10.10.3 Version des Jellyfin-Dockers im Ugreen Appstore wurde seit Herbst letzten Jahres nicht mehr aktualisiert.

Ein Update ist aber SEHR dringend erforderlich, da es länger bekannte schwere Sicherheitslücken in der App gibt.

Das könnte den Ruf und Ugreen dauerhaft (und zu recht) schädigen.

1. IP-Spoofing / Denial-of-Service (gepatcht in 10.10.7)

Ein nicht authentifizierter Angreifer kann seine IP-Adresse fälschen, um als LAN-Gerät zu erscheinen. Dadurch kann er den /System/Restart-Endpunkt missbrauchen und den Server wiederholt neu starten – was einem DoS-Angriff entspricht.

2. FFmpeg Argument Injection / Remote Code Execution (gepatcht in 10.10.7)

Bereits in früheren Versionen gepatcht, aber der Fix war umgehbar. Über unsichere Parameter in Videostreaming-Endpunkten (/Videos/<itemId>/stream) können authentifizierte Benutzer – auch solche mit niedrigen Rechten – Argumente einschleusen, was zu beliebigem Dateischreiben und potenziell zu Remote Code Execution über das Plugin-System führen kann.

3. Kritische Sicherheitslücken in <10.11.7 (April 2026)

Im April 2026 veröffentlichte das Jellyfin-Team Version 10.11.7 mit vier weiteren kritischen Sicherheitspatches, die das Team als „extremely important" eingestuft hat. Diese betreffen alle Versionen vor 10.11.7 – also auch 10.10.3. Die Lücken könnten remote ausnutzbar sein und sind besonders relevant für Server, die direkt im Internet erreichbar sind. Quelle https://jellywatch.app/blog/jellyfin-…urce=perplexity

Bitte behebt das umgehend. Das kann doch nicht so schwer sein einen Docker aktuell zu halten und die Auswirkungen können für den Absatz gravierend werden, wenn Ugreen erst mal einen Ruf bekommt bekannte Sicherheitslücken einfach nicht zu patchen.

eineb · June 8, 2026 at 11:12 PM

Hallo, Du hast mit dem was Du geschrieben hast völlig recht.

Aber dss hier ist kein offizielles UGREEN Forum sondern eine reine Privatinitative von unserem Mod Mike0185 auf die Füße gestellt.

Aber da duch diesbezüglich schon mehrere an UGREEN zu diesem Thema gewandt haben, wäre es sicherlich eine Unterstützung derer und für Dich selbst, wenn Du zu diesem Thema bei UGREEN ein Ticket eröffnest und im Prinzip das selbe reinschrebst wie hier im Thread.

Für Dich als abhilfe, setze Jellyfin selbst neu auf als Dockerversion und lass die App, App sein. Mit der App vom AppCenter bist Du eh eingeschränkt gegenüber einem selbst aufgesetzten Jellyfin Container und die Updates dafür, kommen regelmäßig.

Tutorial solltest Du hier im Forum finden.

Mike0185 · August 6, 2026 at 7:58 AM

Hier gibt es eine aktuelle Rückmeldung von UGREEN:

Quote

Wir haben die entsprechenden Risiken (einschließlich CVE-2025-55315 usw.) bestätigt und planen, das Upgrade des Jellyfin-Pakets Ende August oder Anfang September abzuschließen. Dieses Update wird sich auf die Behebung von Sicherheitslücken in der ASP.NET Core-Laufzeitumgebung und den eingebetteten Komponenten konzentrieren.

peer · August 6, 2026 at 11:32 AM

ForenSeil

ich lasse Jellyfin mit Docker laufen

ForenSeil · August 6, 2026 at 12:27 PM

Schön dass Ugreen mal reagiert, auch wenn leider ganzschön spät.

Der Umzug von der "App" in den Docker erscheint mir leider sehr schwierig, bzw ich weiß nicht mal wo die Konfiguration gespeichert ist. Komplett neu aufsetzen ist doof weil ich bereits viele User angelegt habe.

peer · August 6, 2026 at 12:47 PM

ForenSeil

Code

services:
  Jellyfin:
    image: jellyfin/jellyfin
    container_name: jellyfin    
    ports:
#     - 1900:1900/udp    #nur für alte Geräte benötigt DLNA beißt sich mit Plex Media-Server
     - 7359:7359/udp
     - 8096:8096/tcp
     - 8920:8920/tcp
    volumes:
      - /volume5/docker/jellyfin/cache:/Cache # Cache        
      - /volume9/Filme:/data/Filme # deine Medienverszeichnisse bitte anpassen
      - /volume8/Musik/Flac:/data/Flac # deine Medienverszeichnisse bitte anpassen
      - /volume8/Musik/Musik:/data/Musik # deine Medienverszeichnisse bitte anpassen
      - /volume10/Serien:/data/Serien # deine Medienverszeichnisse bitte anpassen
      - /volume5/docker/jellyfin/config:/config # Bitte einen enspechenden Ordner anlegen z.B. jellyfin und darin config, letsencrypt cache Achtung das Volume anpassen!!!!
      - /volume5/docker/jellyfin/letsencrypt:/letsencrypt
    environment:
      - PUID=1000
      - PGID=10
      - TZ=Europe/Berlin
    restart: unless-stopped
    devices:  
      - /dev/dri:/dev/dri  # Zugriff auf die GPU. Die Power des Transcoden eures INTEL.

Display More

Hier mein Stack. Lege einen Ordner docker an. In diesem Ordner legst du einen Ordner jellyfin an.

In den Ordner jellyfin gehören dann cache, config und letsencrypt. Achte darauf das Volume im Stack an deine Gegebenheiten anzupassen.

Gehe auf deine Medienverzeichnis klicke oben auf den Pfad bis dort z.B. volume1/Filme steht, kopiere diesen und ändere den entsprechenden Pfad in dem Stack. Setze ein Rautezeichen vor zur Zeit nicht benötige Pfade. Bei Updates medet sich docker von Ugreen mit aktualisierbar.

Schließen der schweren Sicherheitslücken bei Jellyfin-App

Mike0185 August 6, 2026 at 7:58 AM

Participate now!