PixelSmash : une faille FFmpeg expose Jellyfin au RCE

Florian BURNEL - ITConnect - 24/06
PixelSmash est une faille critique de FFmpeg (CVE-2026-8461) permettant d'exécuter du code à distance sur un serveur Jellyfin via un simple fichier vidéo piégé.

Un fichier vidéo de 50 Ko suffit pour exploiter PixelSmash (CVE-2026-8461), une faille critique découverte dans FFmpeg ! Elle permet, dans certaines conditions, d'exécuter du code à distance sur un serveur Jellyfin, et de faire planter des dizaines d'autres applications qui reposent sur cette brique logicielle. Voici ce que l'on sait.

Sommaire

  • 50 Ko pour piéger un serveur Jellyfin
  • Une faille qui se propage à tout un écosystème
  • Comment se protéger de PixelSmash ?
  • À ne pas confondre avec les failles Jellyfin d'avril 2026

50 Ko pour piéger un serveur Jellyfin

Cette faille de sécurité a été mise en lumière par un nouveau rapport publié par les chercheurs de JFrog. Elle se situe dans le décodeur MagicYUV de libavcodec, la bibliothèque de décodage utilisée par FFmpeg. Pour ceux qui ne ...
[Courte citation de 8% de l'article original]