JVNDB-2025-024812

Embyにおける複数の脆弱性

Emby Serverはパーソナルメディアサーバーです。バージョン4.8.1.0以前およびベータバージョン4.9.0.0-beta以前において、悪意のあるユーザーは操作されたX-Emby-Client値を含む認証リクエストを送信できます。その値は管理ダッシュボードのデバイスセクションに無検証のまま追加されてしまう問題が存在します。この問題はバージョン4.8.1.0およびベータバージョン4.9.0.0-betaで修正されています。

Emby

• Emby 4.8.1.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Remote Code Execution Through XSS in Admin Dashboard  Advisory  EmbySupport/Emby.Security  GitHub

1. 不適切なエンコード、または出力のエスケープ(CWE-116) [その他]
2. クロスサイトスクリプティング(CWE-79) [NVD評価]
3. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2025-64325

1. National Vulnerability Database (NVD) : CVE-2025-64325

• [2026年01月19日]
    掲載