CVE-2026-47260
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Koel to darmowe, otwarte rozwiązanie do strumieniowania muzyki. W wersjach przed 9.3.5, Koel nie weryfikował poprawnie adresów URL odcinków podcastów, co umożliwiało ataki SSRF na wewnętrzne usługi.
Ocena ryzyka
Organizacja może być narażona na ataki SSRF, które mogą prowadzić do nieautoryzowanego dostępu do wewnętrznych zasobów i danych.
Rekomendacja
Zaleca się aktualizację do wersji 9.3.5 lub nowszej, aby usunąć tę podatność.
Inne podatności w Koel
Zobacz wszystkie- CVE-2026-54494Średnie
Koel przed wersją 9.7.1 błędnie traktuje adresy NAT64 i 6to4 jako publiczne, co pozwala uwierzytelnionemu użytkownikowi na umieszczenie takiego adresu w podcaście RSS i wywołanie żądań do wewnętrznych usług lub metadanych chmury. Odpowiedź serwera jest zwracana użytkownikowi.
- CVE-2026-54493Wysokie
W Koel przed wersją 9.7.0 trasy Subsonic-compatible createInternetRadioStation.view i updateInternetRadioStation.view akceptują streamUrl od uwierzytelnionego użytkownika bez sprawdzeń SafeUrl i HasAudioContentType. Przechowywany URL jest przekazywany do RadioStreamProxy::openStream(), który wywołuje fopen($url, 'r', false, $context). Pozwala to na dostęp do wewnętrznych usług HTTP, takich jak loopback, RFC1918, Docker bridge czy metadata.
- CVE-2026-54492Średnie
Koel przed wersją 9.7.0 w routingu Subsonic createPodcastChannel.view nie stosuje walidacji SafeUrl, co pozwala uwierzytelnionemu użytkownikowi podać prywatny adres URL. Powoduje to natychmiastowe żądania serwerowe do adresów loopback, Docker bridge lub RFC1918.
- CVE-2026-54491Wysokie
W Koel przed wersją 9.7.1 ścieżki pobierania podcastów i radia wykonują jednorazowe sprawdzenie isPublicHost() lub isSafeUrl() bez przypięcia zweryfikowanego adresu, a większość ścieżek nie waliduje przekierowań. Pozwala to na podążanie za przekierowaniem do wewnętrznego adresu lub połączenie po zmianie DNS (DNS rebinding). Ścieżki są dostępne przez API podcastów i radia, co umożliwia uwierzytelnionemu użytkownikowi dostęp do wewnętrznych usług lub metadanych chmury.
- CVE-2026-50552Średnie
Koel to darmowe, open-source'owe rozwiązanie do streamingu muzyki. W wersjach przed 9.7.1 występuje podatność typu Server-Side Request Forgery (SSRF) w punkcie końcowym tworzenia stacji radiowej, co pozwala na wymuszenie na serwerze wykonywania żądań do dowolnych wewnętrznych hostów.
Oryginalny opis (angielski, źródło NVD)
Koel is a free, open-source music streaming solution. Prior to version 9.3.5, Koel validates the podcast feed URL via the SafeUrl rule (DNS resolution + public IP check), but the individual episode <enclosure url="..."> values extracted from the RSS XML are stored directly into the database without any SSRF validation. When a user plays an episode, the server downloads the full HTTP response from the unvalidated enclosure URL via Http::sink()->get() and streams it back to the user, enabling full-read SSRF against internal services. This issue has been patched in version 9.3.5.