SecRuleEngine On SecRule REQUEST_URI "@rx ^/(emby/)?connect/exchange/?$" \ "id:100001,phase:1,t:lowercase,deny,status:403,log,msg:'Blocked Emby Connect Exchange'"

# 精确但全覆盖：大小写不敏感 + 可选 /emby 前缀 + 可选尾斜杠 + 任意方法 location ~* ^/(emby/)?connect/exchange/?$ { return 403; } # 更宽（若整站不使用 Emby Connect，推荐直接用这条） # location ~* ^/(emby/)?connect(/|$) { return 403; }

🚨 Emby 4.10.0.40 严重安全风险预警 近期安全测试发现，某 Emby 4.10.0.40 实例疑似存在管理员权限提升漏洞。 漏洞接口： GET /Connect/Exchange 普通用户携带有效 AccessToken 访问该接口，无需提供 PIN 等参数，即可异常获取管理员 AccessToken。 测试结果： • ✅ 成功获取管理员 Token • ✅ 成功将普通账户提升为管理员 • ✅ 成功访问 Emby 管理接口 • ✅ 进一步取得关联管理后台权限 🛡️ 临时防护措施 ① 拦截风险接口 通过 Nginx / WAF 暂时禁止外部访问 /Connect/Exchange，注意可能影响 Emby Connect。 ② 清理高权限凭据 撤销可疑管理员 Token，检查账户权限及设备授权。 ③ 限制后台访问 通过防火墙、IP 白名单或 VPN 限制管理入口，避免源站端口直接暴露。 ④ 关注安全更新 排查认证接口异常原因，关注官方修复及安全公告。 ⚠️ 目前仅在特定实例完成测试，不代表所有 Emby 4.10.0.40 均受影响。