CVE-2025-65229
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W interfejsie webowym Lyrion Music Server w wersji <= 9.0.3 występuje podatność na trwałe skrypty krzyżowe (XSS). Uwierzytelniony użytkownik z dostępem do Settings Player może zapisać dowolny kod HTML/JavaScript w polu nazwy odtwarzacza. Wartość ta jest przechowywana przez serwer, a następnie renderowana bez odpowiedniego kodowania wyjściowego na karcie Information (Player Info), powodując wykonanie skryptu w kontekście każdego użytkownika przeglądającego tę stronę.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, danych logowania lub innych poufnych informacji. Może to również pozwolić na dalsze ataki w kontekście przeglądarki ofiary.
Rekomendacja
Zaktualizuj Lyrion Music Server do wersji nowszej niż 9.0.3, jeśli jest dostępna. Jeśli nie, ogranicz dostęp do ustawień odtwarzacza tylko do zaufanych użytkowników i rozważ wyłączenie funkcji edycji nazwy odtwarzacza.
Inne podatności w Lyrion Music Server
Zobacz wszystkie- CVE-2026-50234Wysokie
Serwer muzyczny Lyrion w wersji 9.2.0 zawiera podatność na przejście ścieżki, która pozwala nieautoryzowanym atakującym na odczyt dowolnych plików poprzez wykorzystanie przejścia katalogu w kontekście serwera WWW.
- CVE-2026-50232Wysokie
Serwer muzyczny Lyrion w wersji 9.2.0 zawiera podatność na przechowywane ataki typu cross-site scripting (XSS), umożliwiając atakującym wstrzykiwanie złośliwych skryptów poprzez metadane plików multimedialnych, takie jak GENRE, ARTIST i ALBUM.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability exists in the web interface of Lyrion Music Server <= 9.0.3. An authenticated user with access to Settings Player can save arbitrary HTML/JavaScript in the Player name field. That value is stored by the server and later rendered without proper output encoding on the Information (Player Info) tab, causing the script to execute in the context of any user viewing that page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS