CVE-2026-49339
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 — wyżej niż 17% wszystkich znanych CVE
Streszczenie
Gonic, serwer strumieniowania muzyki, ma lukę, która pozwala uwierzytelnionym użytkownikom Subsonic na obejście kontroli własności playlisty. Użytkownicy mogą odczytywać i usuwać playlisty innych użytkowników oraz sprawdzać istnienie dowolnych ścieżek plików na serwerze.
Ocena ryzyka
Luka ta stwarza poważne ryzyko dla prywatności danych użytkowników oraz integralności ich playlist, co może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację do wersji 0.21.0, która zawiera poprawkę rozwiązującą ten problem. Należy również przeprowadzić audyt dostępu do playlist w celu zminimalizowania ryzyka.
Oryginalny opis (angielski, źródło NVD)
gonic is a music streaming server / free-software subsonic server API implementation. The maintainer's fix in commit `6dd71e6a3c966867ef8c900d359a7df75789f410` added an ownership check based on `playlist.UserID`. However, `playlist.UserID` is derived from the first path segment of the attacker-controlled playlist ID, with no path containment on the resolved file path. Any authenticated Subsonic user can therefore bypass the ownership check and read any other user's playlist, delete any other user's playlist, and probe arbitrary file paths on the host for existence/readability. This is a bypass of the boundary the `6dd71e6` fix is trying to enforce; it is closely related to the original GONIC-1 IDOR but uses a different primitive (path traversal in the `id` parameter rather than direct cross-user access). Commit 0824bed88f6bbc490ba28bf09d28e5dfeb07b445 in version 0.21.0 fixes the issue.