CVE-2026-49128

WysokieCVSS 7.5

Opublikowano: 28/05/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.50%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Podatność typu path traversal w MPD przed wersją 0.24.11 pozwala nieuwierzytelnionemu atakującemu na odczyt plików i katalogów poza skonfigurowanym katalogiem muzyki. Błąd występuje w pluginie lokalnego przechowywania, gdzie ścieżka jest konstruowana bez kanonizacji, co umożliwia użycie sekwencji '..'.

Ocena ryzyka

Atakujący może wykorzystać komendy listfiles i albumart do wyliczenia nazw, rozmiarów i dat modyfikacji dowolnych katalogów oraz odczytu plików obrazów, do których proces MPD ma dostęp, co prowadzi do wycieku poufnych danych.

Rekomendacja

Należy niezwłocznie zaktualizować MPD do wersji 0.24.11 lub nowszej, która zawiera poprawkę usuwającą podatność na path traversal.

Inne podatności w Music Player Daemon (MPD)

CVE-2026-49129Średnie
Podatność SSRF w MPD przed wersją 0.24.11 pozwala nieuwierzytelnionym atakującym na ominięcie ograniczeń protokołów HTTP/HTTPS poprzez przekierowanie na protokoły takie jak gopher, ftp czy sftp. Wykorzystanie poleceń MPD inicjujących pobieranie URL (np. add, albumart) umożliwia interakcję z wewnętrznymi lub ograniczonymi usługami sieciowymi.

Oryginalny opis (angielski, źródło NVD)

Music Player Daemon (MPD) before version 0.24.11 contains a path traversal vulnerability in LocalStorage::MapFSOrThrow and LocalStorage::MapUTF8 within the local storage plugin, where the on-disk path is constructed by joining the storage root with a user-supplied URI as plain strings without canonicalization, allowing '..' segments to survive into the resolved path and be flattened by the kernel at openat() time. An unauthenticated attacker can exploit this flaw using the listfiles command to enumerate names, sizes, and modification times of arbitrary directories readable by the MPD process, and the albumart command to read image files in any attacker-chosen directory outside the configured music_directory.