CVE-2026-41458

WysokieCVSS 8.2

Opublikowano: 22/04/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

OwnTone Server w wersjach od 28.4 do 29.0 zawiera podatność na wyścig w obsłudze logowania DAAP, która pozwala nieuwierzytelnionym atakującym na zablokowanie serwera poprzez wykorzystanie niesynchronizowanego dostępu do globalnej listy sesji DAAP. Atakujący mogą wysłać lawinę żądań do punktu końcowego /login, aby wywołać zdalną odmowę usługi bez konieczności uwierzytelniania.

Ocena ryzyka

Ryzyko polega na możliwości zdalnego zatrzymania serwera przez nieuwierzytelnionego atakującego, co prowadzi do przerwy w działaniu usługi i potencjalnej utraty dostępności dla użytkowników.

Rekomendacja

Zaleca się natychmiastową aktualizację OwnTone Server do wersji nowszej niż 29.0, która zawiera poprawkę usuwającą podatność na wyścig w DAAP.

Inne podatności w OwnTone Server

CVE-2026-41457Średnie
OwnTone Server w wersjach od 28.4 do 29.0 zawiera podatność na wstrzykiwanie SQL w obsłudze zapytań i filtrów DAAP. Atakujący mogą wstrzykiwać dowolne wyrażenia SQL poprzez parametry query= i filter= dla pól DAAP mapowanych na liczby całkowite.

Oryginalny opis (angielski, źródło NVD)

OwnTone Server versions 28.4 through 29.0 contain a race condition vulnerability in the DAAP login handler that allows unauthenticated attackers to crash the server by exploiting unsynchronized access to the global DAAP session list. Attackers can flood the DAAP /login endpoint with concurrent requests to trigger a remote denial of service condition without requiring authentication.