CVE-2026-49129

ŚrednieCVSS 5.8

Opublikowano: 28/05/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Podatność SSRF w MPD przed wersją 0.24.11 pozwala nieuwierzytelnionym atakującym na ominięcie ograniczeń protokołów HTTP/HTTPS poprzez przekierowanie na protokoły takie jak gopher, ftp czy sftp. Wykorzystanie poleceń MPD inicjujących pobieranie URL (np. add, albumart) umożliwia interakcję z wewnętrznymi lub ograniczonymi usługami sieciowymi.

Ocena ryzyka

Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych, skanować porty lub przeprowadzać ataki na usługi niedostępne z zewnątrz, co prowadzi do wycieku danych lub eskalacji uprawnień.

Rekomendacja

Należy niezwłocznie zaktualizować MPD do wersji 0.24.11 lub nowszej. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do MPD tylko dla zaufanych hostów i wyłącz niepotrzebne polecenia inicjujące pobieranie URL.

Inne podatności w Music Player Daemon (MPD)

CVE-2026-49128Wysokie
Podatność typu path traversal w MPD przed wersją 0.24.11 pozwala nieuwierzytelnionemu atakującemu na odczyt plików i katalogów poza skonfigurowanym katalogiem muzyki. Błąd występuje w pluginie lokalnego przechowywania, gdzie ścieżka jest konstruowana bez kanonizacji, co umożliwia użycie sekwencji '..'.

Oryginalny opis (angielski, źródło NVD)

Music Player Daemon (MPD) before version 0.24.11 contains a server-side request forgery vulnerability in CurlInputPlugin where CURLOPT_FOLLOWLOCATION is set without CURLOPT_REDIR_PROTOCOLS_STR, allowing unauthenticated attackers to bypass the http/https scheme restriction by causing a malicious HTTP server to redirect to non-HTTP protocols such as gopher, ftp, sftp, ldap, dict, rtmp, or rtsp. Attackers can trigger this vulnerability via MPD commands that initiate URL fetches, including add, readcomments, albumart, readpicture, or load, to interact with internal or restricted network services on systems running libcurl versions prior to 7.85.0.