Podatności OwnTone Server
3 znanych podatności CVE w OwnTone Server, przetłumaczonych i ocenionych.
- CVE-2026-120441Średnie
OwnTone Server do wersji 29.3 zawiera podatność SQL injection w funkcji mpd_sticker_find() w src/mpd.c, która pozwala nieuwierzytelnionym zdalnym atakującym wstrzykiwać SQL przez argument URI. Wysłanie spreparowanej komendy 'sticker find song' do nasłuchu MPD na porcie TCP 6600 omija ograniczenia ścieżek i ujawnia wszystkie pliki multimedialne wraz ze ścieżkami i metadanymi.
- CVE-2026-41458Wysokie
OwnTone Server w wersjach od 28.4 do 29.0 zawiera podatność na wyścig w obsłudze logowania DAAP, która pozwala nieuwierzytelnionym atakującym na zablokowanie serwera poprzez wykorzystanie niesynchronizowanego dostępu do globalnej listy sesji DAAP. Atakujący mogą wysłać lawinę żądań do punktu końcowego /login, aby wywołać zdalną odmowę usługi bez konieczności uwierzytelniania.
- CVE-2026-41457Średnie
OwnTone Server w wersjach od 28.4 do 29.0 zawiera podatność na wstrzykiwanie SQL w obsłudze zapytań i filtrów DAAP. Atakujący mogą wstrzykiwać dowolne wyrażenia SQL poprzez parametry query= i filter= dla pól DAAP mapowanych na liczby całkowite.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS