Вредоносный файл не всегда нужно открывать вручную, чтобы он стал вашей головной болью. Медиасервер сам может обработать скачанный видеоролик для создания превью, прочитать метаданные или просто просканировать медиатеку, и именно в такой автоматизации специалисты JFrog нашли уязвимость PixelSmash в FFmpeg.
Проблема получила идентификатор CVE-2026-8461 и прячется в декодере MagicYUV, через который FFmpeg обрабатывает часть видеофайлов. Из-за ошибки в расчётах памяти код выделяет под цветовые данные кадра меньше места, чем потом пытается записать, поэтому декодер выходит за пределы буфера.
JFrog показала атаку на Jellyfin 10.11.9: вредоносный AVI попал в медиатеку, сервер сам прочитал метаданные через ffprobe, а баг дал выполнить команду. Для запуска кода пришлось отключить ASLR, но даже без этого PixelSmash может уронить приложение или подвесить сервис. Защититься можно путём обновления FFmpeg до версии 8.1.2.