CVE-2026-120441
ŚrednieCVSS 5.3Streszczenie
OwnTone Server do wersji 29.3 zawiera podatność SQL injection w funkcji mpd_sticker_find() w src/mpd.c, która pozwala nieuwierzytelnionym zdalnym atakującym wstrzykiwać SQL przez argument URI. Wysłanie spreparowanej komendy 'sticker find song' do nasłuchu MPD na porcie TCP 6600 omija ograniczenia ścieżek i ujawnia wszystkie pliki multimedialne wraz ze ścieżkami i metadanymi.
Ocena ryzyka
Nieuwierzytelniony atakujący może wyliczyć zawartość biblioteki multimedialnej i uzyskać informacje o strukturze systemu plików, co ułatwia dalsze ataki.
Rekomendacja
Zaktualizuj OwnTone Server do wersji nowszej niż 29.3 i ogranicz dostęp do portu 6600 do zaufanych sieci.
Inne podatności w OwnTone Server
Zobacz wszystkie- CVE-2026-41458Wysokie
OwnTone Server w wersjach od 28.4 do 29.0 zawiera podatność na wyścig w obsłudze logowania DAAP, która pozwala nieuwierzytelnionym atakującym na zablokowanie serwera poprzez wykorzystanie niesynchronizowanego dostępu do globalnej listy sesji DAAP. Atakujący mogą wysłać lawinę żądań do punktu końcowego /login, aby wywołać zdalną odmowę usługi bez konieczności uwierzytelniania.
- CVE-2026-41457Średnie
OwnTone Server w wersjach od 28.4 do 29.0 zawiera podatność na wstrzykiwanie SQL w obsłudze zapytań i filtrów DAAP. Atakujący mogą wstrzykiwać dowolne wyrażenia SQL poprzez parametry query= i filter= dla pól DAAP mapowanych na liczby całkowite.
Oryginalny opis (angielski, źródło NVD)
OwnTone Server through 29.3 contains an sql injection vulnerability in mpd_sticker_find() in src/mpd.c that allows unauthenticated remote attackers to inject SQL via the URI argument. Attackers can send a crafted 'sticker find song' command to the MPD listener on TCP port 6600 to bypass path restrictions and enumerate all media files with filesystem paths and metadata.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS