Jellyfinはメディアサーバーのバージョン12.0をリリースしました。今回のセキュリティ修正の多くは、サーバーが本来公開すべきフォルダ外のファイルにアクセスしようとするリクエストをブロックするものです。そのほかにも、初回セットアップ、プラグインのインストール、ペアレンタルコントロール、Webインターフェースに関するセキュリティ対応が行われています。
設定に不備があるサーバーでは、サインインしていないユーザーでもセットアップウィザード――管理者アカウントを作成しライブラリの場所を指定する初回起動時のページ――を再度実行できてしまう問題がありました。
安全でない名前を持つプラグインパッケージは拒否されるようになりました。これまで適用されていなかった箇所にもペアレンタルコントロールが及ぶようになったほか、Webクライアントではクロスサイトスクリプティング(XSS、攻撃者が仕込んだコンテンツが別のユーザーのブラウザセッション内でスクリプトとして実行されてしまう脆弱性の一種)に関する修正も行われています。
プロジェクト側は個々の問題について詳細を明かしておらず、CVE識別子の付与や深刻度の評価も行っていません。そのため管理者はパッチ適用の緊急度を判断する材料として、「セキュリティ」という単語とその前後の説明文しか手がかりがない状況です。
旧式クライアントと旧式ログイン方式は動作しなくなる
従来の/emby/および/mediabrowser/アドレスのサポートは廃止され、Jellyfinがすでに非推奨としていたサインイン方式も、既存サーバー・新規インストールを問わずデフォルトで無効化されます。長年アップデートされていないクライアントは、接続できなくなる可能性があります。
また、JellyfinはPOST /Users/{userId}/EasyPasswordを削除しました。これは今回のリリースで削除された5つのルートのうちの1つで、すでに何もしない状態になっていたものです。加えてUserDto.HasPasswordも、その値がもはや有用な情報を提供しないという理由で非推奨扱いとなりました。
12.0ではユーザー名の大文字・小文字が区別されなくなり、大文字小文字の違いだけで異なる2つのアカウント名を持つことができなくなりました。そうしたアカウントの組み合わせを持つサーバーでは、データベースの移行処理自体が失敗してしまいます。そのため、アップグレードを始める前にユーザー一覧を確認しておく価値があります。
組み込みTLSは当面存続
Jellyfinは10.11.0のリリースノートで、今回のバージョンでサーバー自体のTLSサポートを削除する予定だと述べていました。しかし、その削除は将来のバージョンへ先送りされました。プロジェクト側は引き続き、リバースプロキシ経由でサーバーを運用することを推奨しています。
この先送りの実際上の効果として、Jellyfin組み込みのTLSを使ってインターネット公開のインスタンスを運用しているユーザーも、アップグレード後にそのまま動作を継続できます。
アップグレード前に確認すべきこと
10.11向けに作られたサードパーティ製プラグインは、12.0では読み込まれません。サーバーの対象フレームワークが.NET 10に変更され、複数のプラグインインターフェースも変わったため、こうしたプラグインは開発者による更新版のビルドが必要です。Jellyfinは、アップグレード前にそれらのプラグインをサーバーから外し、更新版が公開され次第改めて追加することを推奨しています。公式プラグインについてはすでに更新済みです。また、無効化したプラグインは再起動をまたいでも無効化状態が維持されるようになりました。これは10.11では実現されていなかった挙動です。
アップグレード元として対応しているのは10.10.7、または10.11.x系の任意のリリースです。それより古いバージョンからは、まず10.10.7を経由する必要があります。アップグレード後にはライブラリの全体スキャンが必須となり、Jellyfinがライブラリ内のすべてのアイテムをディスク上のファイルと突き合わせて確認するため、初回のスキャンは通常よりかなり時間がかかります。移行処理を慎重な単独ステップとして実行したい管理者は、--mode MigrateSystemを指定してサーバーを起動できます。このモードではアップグレードのみを実行して終了し、Jellyfinの他の機能は起動しません。
データベースのスキーマは変更され、データは初回起動時に書き換えられます。その処理が行われる前に取得したバックアップだけが、以前のバージョンへ戻す唯一の手段となります。
翻訳元: https://www.helpnetsecurity.com/2026/09/08/jellyfin-12-0-security-fixes/
