CVE-2026-86118

ŚrednieCVSS 4.3

Opublikowano: 05/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Streszczenie

gonic przed wersją 0.22.0 nie weryfikuje uprawnień administratora w punkcie końcowym startScan, co pozwala każdemu uwierzytelnionemu użytkownikowi wyzwalać ponowne skanowanie biblioteki multimediów. Atakujący mogą wielokrotnie wywoływać startScan, aby wymusić intensywne operacje na plikach (CPU i I/O), powodując denial of service w instancjach wieloużytkownikowych.

Ocena ryzyka

Ryzyko obejmuje przeciążenie serwera i niedostępność usługi dla innych użytkowników, co może prowadzić do przerw w działaniu i utraty produktywności.

Rekomendacja

Zaktualizuj gonic do wersji 0.22.0 lub nowszej, która wymaga uprawnień administratora dla startScan. Ogranicz dostęp do punktu końcowego tylko dla zaufanych użytkowników.

Inne podatności w gonic

CVE-2026-49340Wysokie
W gonic, serwerze strumieniowania muzyki, przed wersją 0.21.0 występuje błąd logiczny w funkcji `ServeCreateOrUpdatePlaylist`, który pozwala każdemu uwierzytelnionemu użytkownikowi Subsonic (w tym nie-administratorom) na zapisanie zawartości playlisty M3U w kontrolowanej przez atakującego absolutnej ścieżce systemu plików na hoście gonic.

Oryginalny opis (angielski, źródło NVD)

gonic versions before 0.22.0 fail to validate administrator privileges in the startScan endpoint, allowing any authenticated user to trigger media library rescans. Attackers can repeatedly call the startScan endpoint to force CPU and I/O-intensive filesystem operations, causing denial of service on multi-user instances.