Jellyfin critical security update - This is not a joke
Release 10.11.7 · jellyfin/jellyfin
🚀 Jellyfin Server 10.11.7 We are pleased to announce the latest stable release of Jellyfin, version 10.11.7! This minor release brings several bugfixes to improve your Jellyfin experience. As alway...GitHub
mögen das
burghler
Als Antwort auf Mubelotix • • •mögen das
giantpaper mag das.
doeknius_gloek
Als Antwort auf burghler • • •Strit
Als Antwort auf doeknius_gloek • • •rollerbang
Als Antwort auf burghler • • •sudoMakeUser
Als Antwort auf burghler • • •dvlsg
Als Antwort auf sudoMakeUser • • •True, but there is a web frontend. Possible it could be using npm and axios somewhere in there.
I still doubt it. But it could happen.
sudoMakeUser
Als Antwort auf dvlsg • • •Mubelotix
Als Antwort auf sudoMakeUser • • •The frontend is ENTIRELY javascript. Don't claim to know if you don't
github.com/jellyfin/jellyfin-w…
GitHub - jellyfin/jellyfin-web: The Free Software Media System - Official Web Client
GitHubMubelotix
Als Antwort auf sudoMakeUser • • •GitHub - jellyfin/jellyfin-web: The Free Software Media System - Official Web Client
GitHubsudoMakeUser
Als Antwort auf Mubelotix • • •cholesterol
Als Antwort auf Mubelotix • • •Strit
Als Antwort auf cholesterol • • •varnia
Als Antwort auf Mubelotix • • •Client-Side Certificate Authentication with nginx
fardog.iomögen das
TVA mag das.
daniskarma
Als Antwort auf varnia • • •Does it work with android and TV apps?
I tried long ago and failed.
varnia
Als Antwort auf daniskarma • • •No, we only use Jellyfin via browser. Unfortunately even with imported Client Cert, Android apps won't work.
Edit: Client Certs need to be implemented per App. There is a feature request from 2022 features.jellyfin.org/posts/14…
Capability to specify client certificate for android client · Jellyfin Feature Requests
features.jellyfin.orggreyscale
Als Antwort auf varnia • • •And like that you've lost me
Kamikakushi (YouTube)sudoMakeUser
Als Antwort auf varnia • • •daniskarma
Als Antwort auf sudoMakeUser • • •If you are the only user and don't need to use those apps in devices you don't own a vpn is the way to go.
If not. Depending the number of users you could do some heavy ip geoblocking to at least reduce the exposed surface.
There are a few services I have just like 3 IPs allowed to get a response from caddy, any other ip gets 403 error.
esc
Als Antwort auf Mubelotix • • •mögen das
TVA mag das.
LycaKnight
Als Antwort auf esc • • •mögen das
TVA mag das.
pfr
Als Antwort auf LycaKnight • • •antrosapien
Als Antwort auf pfr • • •pfr
Als Antwort auf antrosapien • • •It depends if you're using Pangolin for private access or public exposure.
NetBird is a clean replacement for headscale/tailscale, but if your using pangolin specifically for its public tunnel feature then you'd need to keep pangolin.
antrosapien
Als Antwort auf pfr • • •Damarus
Als Antwort auf esc • • •InnerScientist
Als Antwort auf Damarus • • •tiz
Als Antwort auf InnerScientist • • •radar
Als Antwort auf tiz • • •mögen das
TVA mag das.
tiz
Als Antwort auf radar • • •whimsy
Als Antwort auf radar • • •radar
Als Antwort auf whimsy • • •WhyJiffie
Als Antwort auf radar • • •ohshit604
Als Antwort auf tiz • • •Redirecting...
doc.traefik.ioVeganCheesecake
Als Antwort auf ohshit604 • • •ohshit604
Als Antwort auf VeganCheesecake • • •Oh yeah I’m aware, if people don’t want to use a VPN then I suggest this but give them the advisory warning.
Actually, recently I’ve been using a fork of IPAllowList which accepts DDNS addresses, but that usually is for more technical folk who would probably rather use a VPN then purchase a domain and associate it with their network.
Auli
Als Antwort auf InnerScientist • • •faercol
Als Antwort auf InnerScientist • • •ramble81
Als Antwort auf faercol • • •faercol
Als Antwort auf ramble81 • • •Which again implies that you have a router that allows you to do so. It's not always the case. For tech enthusiast people that's the case. But not for everyone.
I tried to do the same thing at first, but it was a pain, there were tons of issues.
douglasg14b
Als Antwort auf ramble81 • • •Oh yes, the routers and gateways that most people have that are isp provided that may not actually have open VPN or wireguard support.
Those ones?
Also putting a VPN in someone else's house so that all their Network traffic goes through your gateway is pretty damn extreme.
ramble81
Als Antwort auf douglasg14b • • •What? No, you can do a tiny reverse proxy/vpn on a stick with something like a RPi. Configure it and give it to them. Then they point their Jellyfin client on their device to the IP of the RPi instance on their network and that creates the tunnel back to your VPN endpoint and server.
And for VPNs at a router level you can inject routes and leave th default route going out through your ISP, you don’t need to, nor want to, have all traffic going through it.
ugo
Als Antwort auf Damarus • • •Damarus
Als Antwort auf ugo • • •ugo
Als Antwort auf Damarus • • •Damarus
Als Antwort auf ugo • • •WhyJiffie
Als Antwort auf Damarus • • •Damarus
Als Antwort auf WhyJiffie • • •WhyJiffie
Als Antwort auf Damarus • • •Damarus
Als Antwort auf WhyJiffie • • •WhyJiffie
Als Antwort auf Damarus • • •Damarus
Als Antwort auf WhyJiffie • • •Encrypt-Keeper
Als Antwort auf ugo • • •keyez
Als Antwort auf ugo • • •ugo
Als Antwort auf keyez • • •douglasg14b
Als Antwort auf keyez • • •Dultas
Als Antwort auf douglasg14b • • •WhyJiffie
Als Antwort auf keyez • • •vaionko
Als Antwort auf WhyJiffie • • •douglasg14b
Als Antwort auf ugo • • •Which doesn't work for The grand majority of devices that would be used to watch said media.
Tvs game consoles rokus so on so forth typically don't support VPN clients.
The Jonathan clients for these devices also typically don't support alternative authentication methods which would allow you to put jellyfin behind a proxy and have the proxy exposed to the internet. Gating all access to jellyfin apis behind a primary authentication layer thus mitigating effectively all security vulnerabilities that are currently open.
WhyJiffie
Als Antwort auf douglasg14b • • •and that's why you set up a VPN client box on the location, set it up as a regular VPN client, and install a reverse proxy on it that the dumb clients can connect to.
the VPN box could be as simple as an old android phone no one uses, and termux
kbobabob
Als Antwort auf esc • • •esc
Als Antwort auf kbobabob • • •Auli
Als Antwort auf esc • • •bonenode
Als Antwort auf esc • • •esc
Als Antwort auf bonenode • • •traxex
Als Antwort auf bonenode • • •Luminous5481 "lawless hethen" [they/them]
Als Antwort auf bonenode • • •the usable information is information that's so widely talked about in this community that they probably expected anyone who is reading this to know what they're talking about.
clearly there are still people who have no experience self-hosting whatsoever that we should be considerate of.
CompactFlax
Als Antwort auf esc • • •That’s never made sense to me; why build an authn frontend instead of just clicking your user if the security is just an illusion anyways. “Use a VPN” is fine for a mainframe, but an active project in 2026 should aspire to be better.
Edit: or make note of that on their several pages with reverse proxy configuration.
Examples dating back over six years github.com/jellyfin/jellyfin/i…
Collection of potential security issues in Jellyfin · Issue #5415 · jellyfin/jellyfin
GermanCoding (GitHub)mögen das
TVA mag das.
AHemlocksLie
Als Antwort auf CompactFlax • • •IratePirate
Als Antwort auf CompactFlax • • •quick_snail
Als Antwort auf IratePirate • • •Hammersamatom
Als Antwort auf CompactFlax • • •Infernal_pizza
Als Antwort auf Hammersamatom • • •mögen das
yessikg mag das.
Hammersamatom
Als Antwort auf Infernal_pizza • • •Oh absolutely, difference being that you only need to expose the service once, versus helping however many people set up VPNs to access the service on your LAN
I know way too many people who won't remember to toggle it on, or just won't deal with it
It's just not convenient enough
WhyJiffie
Als Antwort auf Hammersamatom • • •they need a VPN app that toggles automatically. turn off when they happen to connect to your network, otherwise on, and only forward jellyfin and such apps through it.
WhyJiffie
Als Antwort auf Hammersamatom • • •they need a VPN app that toggles automatically. turn off when they happen to connect to your network, otherwise on, and only forward jellyfin and such apps through it.
sanzky
Als Antwort auf Infernal_pizza • • •Infernal_pizza
Als Antwort auf sanzky • • •FauxLiving
Als Antwort auf sanzky • • •You only have to give them access to a specific port on a specific machine, not your entire LAN.
My VPN has a 'media' usergroup who can only access the, read-only, NFS exports of my media library.
If you're just installing Wireguard and enabling IP forwarding, yeah it would not be secure. But using a mesh VPN, like Tailscale/Headscale, gives you A LOT more tools to control access.
WhyJiffie
Als Antwort auf FauxLiving • • •FauxLiving
Als Antwort auf Hammersamatom • • •Yes, not everyone. My grandmother would struggle setting up a VPN, for example.
However, a community member of the selfhosted community is perfectly capable of reading a manual and learning the software.
That's how you become tech literate in the first place, and you're already on that path if you're commenting/reading here.
Hammersamatom
Als Antwort auf FauxLiving • • •Agreed, was more so referring to others. I apologize if it seemed like I was referring to myself
I'm already well and truly deep into this, myself. Two Proxmox nodes running the *Arr stack and Jellyfin in LXC containers. Bare metal TrueNAS, with scheduled LTO backups every two weeks. A few other bits and bobs, like some game servers and home automation for family.
Will need to re-map everything eventually, it's kind of grown out of hand
FauxLiving
Als Antwort auf Hammersamatom • • •Look at Tailscale (or self-host headscale)
It's a bit of learning (like all of these other things) but it's a very powerful tool.
I do agree with the general point that Jellyfin shouldn't require a VPN.
WhyJiffie
Als Antwort auf FauxLiving • • •that's a weird take. your grandmother doesn't need to set up a VPN. It's not like this is where they would get stuck, they would have problems much sooner with running their own Jellyfin. that's why you are hosting it for them, and why you go there and set the VPN up yourself.
FauxLiving
Als Antwort auf WhyJiffie • • •I was not actually presenting a scenario where my grandmother would use a VPN.
I was pointing out that this community is full of people who are perfectly capable of learning to use a VPN. In response to this comment:
That's a true statement about 'everyone' i.e. the entire population of the planet... but true about everyone here in this community.
teawrecks
Als Antwort auf CompactFlax • • •If I say I custom rolled my own crypto and it's designed to be deployed to the open web, and you inspect it and don't see anything wrong, should you do it?
Jellyfin is young and still in heavy development. As time goes on, more eyes have seen it, and it's been battle hardened, the security naturally gets stronger and the risk lower. I don't agree that no one should ever host a public jellyfin server for all time, but for right now, it should be clear that you're assuming obvious risk.
Technically there's no real problem here. Just like with any vulnerability in any service that's exposed in some way, as long as you update right now you're (probably) fine. I just don't want staying on top of it to be a full time job, so I limit my attack surface by using a VPN.
CompactFlax
Als Antwort auf teawrecks • • •The original ticket is 2019. That’s 7 years ago.
It responds to and serves content to unauthenticated requests. That’s sorta table stakes if you’re creating an authenticated web service and providing guides to set it up with a reverse proxy.
teawrecks
Als Antwort auf CompactFlax • • •Auli
Als Antwort auf teawrecks • • •rumba
Als Antwort auf Auli • • •Biggest worry is someone finding an uncaught RCE.
Of course plugins also have surface area.
We know they can anon pull video. You can sandbox it to limit exposure.
But if they modify the web client with an RCE, then you hit your own server as a trusted site and that delivers a payload...
WhyJiffie
Als Antwort auf CompactFlax • • •there is just too much place in the codebase for vulnerabilities, and also, most projects like this are maintained by volunteers in their free time for free.
I guess if you set up an IP whitelist in the reverse proxy, or a client TLS certificate requirement, it's fine to open it to the internet, but otherwise no.
mic_check_one_two
Als Antwort auf CompactFlax • • •Auli
Als Antwort auf mic_check_one_two • • •Lemmchen
Als Antwort auf esc • • •esc
Als Antwort auf Lemmchen • • •The problem here - it's not me who requires access to my library, if someone isn't willing or able to do it, I'm sorry but that's just how it is. People should stop infantilize non-technical people, absolute majority of them is capable of navigating our world without much problems and I'm willing to help them if help is asked.
If my 60 y.o. mother with close to zero technical skills can do it with limited help (due to distance and other constraints) I'm pretty sure that majority of people with sound mind can.
IratePirate
Als Antwort auf esc • • •Lemmchen
Als Antwort auf esc • • •Or you can not be arrogant towards your friends and family who have probably helped you on lots of occasions and will probably keep being there for you in the future.
Idk man, unconditional sharing feels pretty good, tbh. Making them jump through hoops isn't really my jam. To me this kinda all plays into making a stronger bond with people that are close to me, so maybe we have different reasons for why we are sharing our stuff.
Inb4 "we are not the same" meme
esc
Als Antwort auf Lemmchen • • •irmadlad
Als Antwort auf Lemmchen • • •Pass. Users cause complexities. Complexities cause issues.
BladeFederation
Als Antwort auf irmadlad • • •irmadlad
Als Antwort auf BladeFederation • • •WhyJiffie
Als Antwort auf Lemmchen • • •idk man, I wont keep my front gate unlocked just so my friends can come in without keys. either they accept having to carry an additional key, or they won't have access without me, but I'm not going to compromise on reasonable security. oh the burden I know.
I'll help them set it up if they want it, they are not on their own. but zero effort won't work.
DreamlandLividity
Als Antwort auf Lemmchen • • •inclementimmigrant
Als Antwort auf DreamlandLividity • • •DreamlandLividity
Als Antwort auf inclementimmigrant • • •Lemmchen
Als Antwort auf DreamlandLividity • • •DreamlandLividity
Als Antwort auf Lemmchen • • •atzanteol
Als Antwort auf esc • • •Y'all are assuming the security issue is something exploitable without authentication or has something to do with auth.
But it it could be a supply chain issue which a VPN won't protect you from.
WhyJiffie
Als Antwort auf atzanteol • • •Possibly linux
Als Antwort auf WhyJiffie • • •Possibly linux
Als Antwort auf atzanteol • • •maplesaga
Als Antwort auf esc • • •yabbadabaddon
Als Antwort auf maplesaga • • •AllHailTheSheep
Als Antwort auf yabbadabaddon • • •exu
Als Antwort auf AllHailTheSheep • • •AllHailTheSheep
Als Antwort auf exu • • •Possibly linux
Als Antwort auf AllHailTheSheep • • •AllHailTheSheep
Als Antwort auf esc • • •ohshit604
Als Antwort auf AllHailTheSheep • • •Do not rely on an OIDC/LDAP provider with Jellyfin, you cannot run these in front of your proxy otherwise Jellyfin applications will not be able to communicate with the server.
Blacklist all IP address and whitelist the known few, no need for Fail2Ban or a WAF.
AllHailTheSheep
Als Antwort auf ohshit604 • • •you totally can use ldap or oidc it just requires more setup. you just ensure jellyfin and your source of truth talk on their own subnet, docker can manage it all for you. ldap can be setup to be ldaps with ssl and never even leave the docker subnet anyways.
and yes I suppose you could rely on whitelists, but you'd have to manually add to the whitelist for every user, and god forbid if someone is traveling.
Luminous5481 "lawless hethen" [they/them]
Als Antwort auf ohshit604 • • •Possibly linux
Als Antwort auf AllHailTheSheep • • •mriormro
Als Antwort auf esc • • •Don’t ever shit in your own house, either.
Just in case they’re watching.
Possibly linux
Als Antwort auf mriormro • • •quick_snail
Als Antwort auf esc • • •GatekeeperOnTurdMountain
Als Antwort auf Mubelotix • • •rose56
Als Antwort auf GatekeeperOnTurdMountain • • •IMDB on your phone I guess....
frongt
Als Antwort auf rose56 • • •Railcar8095
Als Antwort auf frongt • • •Possibly linux
Als Antwort auf frongt • • •psycotica0
Als Antwort auf GatekeeperOnTurdMountain • • •I know you're gatekeeping from Turd Mountain, but just for completeness, the reason I use Jellyfin besides the "pretty for my wife" reason is that it keeps track of her progress between clients. She sometimes watches things on her laptop, sometimes her phone, sometimes her tablet, and sometimes the TV, and no matter which one she uses it'll remember which episode of her show is the next episode. It also highlights when a new episode of something has been added and cues her to watch the new episode that just came out.
But yeah, if I was alone and only had a pile of anime I'd already seen before, which I only watched from my Linux devices, Samba and VLC would do me fine 😛
FauxLiving
Als Antwort auf psycotica0 • • •Use NFS for your sanity. Linux samba/CIFS is annoying to deal with.
Also, mpv
psycotica0
Als Antwort auf FauxLiving • • •FauxLiving
Als Antwort auf psycotica0 • • •Decronym
Als Antwort auf Mubelotix • • •Acronyms, initialisms, abbreviations, contractions, and other phrases which expand to something larger, that I've seen in this thread:
[Thread #203 for this comm, first seen 1st Apr 2026, 09:50]
[FAQ] [Full list] [Contact] [Source code]
Decronym: A simple Reddit bot
GistKatherine 🪴
Als Antwort auf Mubelotix • • •mögen das
yessikg mag das.
Scrollone
Als Antwort auf Katherine 🪴 • • •Yeah, I think what went wrong and now everything is installed through Docker.
Docker feels like a huge security problem to me.
Possibly linux
Als Antwort auf Scrollone • • •Why?
Docker makes everything so much easier
rose56
Als Antwort auf Mubelotix • • •gigachad
Als Antwort auf rose56 • • •mögen das
bluGill mag das.
somehacker
Als Antwort auf gigachad • • •No need to shut it down if it’s not exposed to the internet. Tailnet/VPN is fine.
If it’s a supply chain compromise shutting it down wouldn’t matter. The damage is already done.
mögen das
yessikg mag das.
Possibly linux
Als Antwort auf somehacker • • •rose56
Als Antwort auf gigachad • • •yessikg mag das.
ohulancutash
Als Antwort auf Mubelotix • • •mögen das
chookity mag das.
Lemmchen
Als Antwort auf ohulancutash • • •Mubelotix
Als Antwort auf Lemmchen • • •There was a regression that caused Jellyfin to be a LOT more restrictive regarding the structured filesystem format. But this could be something else
Edit: Maintainers told me they were gonna fix it
entropicdrift
Als Antwort auf Mubelotix • • •ohulancutash
Als Antwort auf entropicdrift • • •zeitverschreib ⁂
Als Antwort auf ohulancutash • •@ohulancutash You may want to have a look at #Lyrion.
@entropicdrift
Selfhosted hat dies geteilt.
Ruthalas
Als Antwort auf Lemmchen • • •HereIAm
Als Antwort auf ohulancutash • • •Yeah this is unfortunate news for me as well. I have a primary container I use for videos, and then a 10.10 server for music. 10.11 is borderline unusable for music for me, and I've tried everything for rescanning to completely redoing the server set up (rip accidentally deleting all my music playlists).
But i shall kill off the 10.10 container and hope a performance fix is in the works.
lmr0x61
Als Antwort auf Mubelotix • • •catlover
Als Antwort auf Mubelotix • • •mögen das
yessikg mag das.
clif
Als Antwort auf Mubelotix • • •Thank you for posting this. I tend to get a lot of my opensource project info from Lemmy so people who take the time to post it are awesome.
Just updated my home instance. Can confirm that 10.11.7 is available in the Debian repos and the update went perfect. I got a new kernel in the same update : D
mögen das
yessikg mag das.
mrbutterscotch
Als Antwort auf clif • • •Hi!
So I installed jellyfin on Bazzite as per this video.
But he didn't explain how to update the server. Could you maybe tell me how you did it with your server? Maybe it could help me figure out how to update mine as well.
How to run Plex Media Server & Jellyfin Server on Bazzite using Quadlets
Mike's Tech Tips (YouTube)JigglySackles
Als Antwort auf mrbutterscotch • • •Diurnambule
Als Antwort auf Mubelotix • • •Evotech
Als Antwort auf Mubelotix • • •irmadlad
Als Antwort auf Evotech • • •greyscale
Als Antwort auf Evotech • • •Three. Three emojis, used in headings as a bullet point.
It is perfectly plausable for someone whos job is to write technical documentation and promotional material would punch it up with a couple 'mojis.
github.com/jellyfin/jellyfin/r…
Every single release uses the same format with the same 3 emojis. You'd know that if you'd clicked "releases" and had even a modicum of curiosity.
Releases · jellyfin/jellyfin
GitHubElectricd
Als Antwort auf Evotech • • •Wispy2891
Als Antwort auf Mubelotix • • •mögen das
yessikg mag das.
AllHailTheSheep
Als Antwort auf Mubelotix • • •FackCurs
Als Antwort auf Mubelotix • • •Is it standard practice to release the security updates on GitHub?
I am a very amateur self hoster and wouldn't go on the github of projects on my own unless I wanted to read the "read me" for install instructions.
I am realizing that I got aware I needed to update my Jellyfin container ASAP only thanks to this post. I would have never checked the GitHub.
SayCyberOnceMore
Als Antwort auf FackCurs • • •Not really.
Depending on how you install things, the package maintainers usually deal with this, so your next
apt update/pacman -Syuvor ... whatever Fedora does...would capture it.
If you've installed this as a container... dunno.. whatever the container update process is (I don't use them)
FackCurs
Als Antwort auf SayCyberOnceMore • • •ButtDrugs
Als Antwort auf FackCurs • • •quick_snail
Als Antwort auf FackCurs • • •mic_check_one_two
Als Antwort auf quick_snail • • •quick_snail
Als Antwort auf mic_check_one_two • • •mpramann
Als Antwort auf quick_snail • • •communism
Als Antwort auf FackCurs • • •quick_snail
Als Antwort auf SayCyberOnceMore • • •SayCyberOnceMore
Als Antwort auf quick_snail • • •It's difficult to do security-only updates when the fix is contained within a package update.
Even Microsoft's security updates are a mix with secuirity updates containing feature changes and vice versa.
I usually do an update on 1 random device / VM and if that was ok (inc. watching for any
.pacnewfiles) and then kick Ansible into action for the rest.quick_snail
Als Antwort auf SayCyberOnceMore • • •Why does unattended upgrades with security only setting not fix this?
This is literally why Debian has distinct repos for security updates.
ShortN0te
Als Antwort auf FackCurs • • •Yes.
And then the maintainers of the package on the package repository you use will release the patch there. Completely standard operation.
I recommend younto read up on package repositories on Linux and package maintainers etc.
irmadlad
Als Antwort auf FackCurs • • •I don't run the arr stack, but this is key. You really should do your due diligence before you update anything. Personally, I wait unless it's a security issue, and use all the early adopters as beta testers.
Possibly linux
Als Antwort auf Mubelotix • • •JigglySackles
Als Antwort auf Possibly linux • • •https://startrek.website/u/kieron115
Als Antwort auf JigglySackles • • •JigglySackles
Als Antwort auf • • •neclimdul
Als Antwort auf • • •Definitely.
But I think more than copium it's them understanding their users. It's advice for people that will figure out how to run Jellyfin but won't stay on top of updates, setup a waf, use a firewall/reverseproxy to limit access, etc. There are surely a lot of those that just one clicked an installer etc and for them it's good advice.