CVE-2026-50552
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Koel to darmowe, open-source'owe rozwiązanie do streamingu muzyki. W wersjach przed 9.7.1 występuje podatność typu Server-Side Request Forgery (SSRF) w punkcie końcowym tworzenia stacji radiowej, co pozwala na wymuszenie na serwerze wykonywania żądań do dowolnych wewnętrznych hostów.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do zasobów wewnętrznych organizacji przez uwierzytelnionych użytkowników, co stwarza poważne zagrożenie dla bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację do wersji 9.7.1 lub nowszej, aby usunąć tę podatność oraz zrewidowanie polityki dostępu dla użytkowników niebędących administratorami.
Inne podatności w Koel
Zobacz wszystkie- CVE-2026-54494Średnie
Koel przed wersją 9.7.1 błędnie traktuje adresy NAT64 i 6to4 jako publiczne, co pozwala uwierzytelnionemu użytkownikowi na umieszczenie takiego adresu w podcaście RSS i wywołanie żądań do wewnętrznych usług lub metadanych chmury. Odpowiedź serwera jest zwracana użytkownikowi.
- CVE-2026-54493Wysokie
W Koel przed wersją 9.7.0 trasy Subsonic-compatible createInternetRadioStation.view i updateInternetRadioStation.view akceptują streamUrl od uwierzytelnionego użytkownika bez sprawdzeń SafeUrl i HasAudioContentType. Przechowywany URL jest przekazywany do RadioStreamProxy::openStream(), który wywołuje fopen($url, 'r', false, $context). Pozwala to na dostęp do wewnętrznych usług HTTP, takich jak loopback, RFC1918, Docker bridge czy metadata.
- CVE-2026-54492Średnie
Koel przed wersją 9.7.0 w routingu Subsonic createPodcastChannel.view nie stosuje walidacji SafeUrl, co pozwala uwierzytelnionemu użytkownikowi podać prywatny adres URL. Powoduje to natychmiastowe żądania serwerowe do adresów loopback, Docker bridge lub RFC1918.
- CVE-2026-54491Wysokie
W Koel przed wersją 9.7.1 ścieżki pobierania podcastów i radia wykonują jednorazowe sprawdzenie isPublicHost() lub isSafeUrl() bez przypięcia zweryfikowanego adresu, a większość ścieżek nie waliduje przekierowań. Pozwala to na podążanie za przekierowaniem do wewnętrznego adresu lub połączenie po zmianie DNS (DNS rebinding). Ścieżki są dostępne przez API podcastów i radia, co umożliwia uwierzytelnionemu użytkownikowi dostęp do wewnętrznych usług lub metadanych chmury.
- CVE-2026-47260Wysokie
Koel to darmowe, otwarte rozwiązanie do strumieniowania muzyki. W wersjach przed 9.3.5, Koel nie weryfikował poprawnie adresów URL odcinków podcastów, co umożliwiało ataki SSRF na wewnętrzne usługi.
Oryginalny opis (angielski, źródło NVD)
Koel is a free, open-source music streaming solution. Prior to version 9.7.1, Koel contains a Server-Side Request Forgery (SSRF) vulnerability in the radio station creation endpoint (POST /api/radio/stations). The url field validation rules are declared without the bail keyword, so the HasAudioContentType rule — which issues HTTP requests to the supplied URL — still executes even after the SafeUrl rule has rejected the URL as pointing to a private/reserved address. Any authenticated, non-admin user can therefore coerce the server into making HEAD/GET requests to arbitrary internal hosts. This issue has been patched in version 9.7.1.