CVE-2026-41457
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
OwnTone Server w wersjach od 28.4 do 29.0 zawiera podatność na wstrzykiwanie SQL w obsłudze zapytań i filtrów DAAP. Atakujący mogą wstrzykiwać dowolne wyrażenia SQL poprzez parametry query= i filter= dla pól DAAP mapowanych na liczby całkowite.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia filtrów i nieautoryzowanego dostępu do danych biblioteki multimediów, co może prowadzić do wycieku poufnych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację OwnTone Server do wersji nowszej niż 29.0, która zawiera poprawkę usuwającą podatność na wstrzykiwanie SQL.
Inne podatności w OwnTone Server
Zobacz wszystkie- CVE-2026-120441Średnie
OwnTone Server do wersji 29.3 zawiera podatność SQL injection w funkcji mpd_sticker_find() w src/mpd.c, która pozwala nieuwierzytelnionym zdalnym atakującym wstrzykiwać SQL przez argument URI. Wysłanie spreparowanej komendy 'sticker find song' do nasłuchu MPD na porcie TCP 6600 omija ograniczenia ścieżek i ujawnia wszystkie pliki multimedialne wraz ze ścieżkami i metadanymi.
- CVE-2026-41458Wysokie
OwnTone Server w wersjach od 28.4 do 29.0 zawiera podatność na wyścig w obsłudze logowania DAAP, która pozwala nieuwierzytelnionym atakującym na zablokowanie serwera poprzez wykorzystanie niesynchronizowanego dostępu do globalnej listy sesji DAAP. Atakujący mogą wysłać lawinę żądań do punktu końcowego /login, aby wywołać zdalną odmowę usługi bez konieczności uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
OwnTone Server versions 28.4 through 29.0 contain a SQL injection vulnerability in DAAP query and filter handling that allows attackers to inject arbitrary SQL expressions by supplying malicious values through the query= and filter= parameters for integer-mapped DAAP fields. Attackers can exploit insufficient sanitization of these parameters to bypass filters and gain unauthorized access to media library data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS