PT-2025-23230
CVE-2025-48949
·
تاريخ النشر
2025-05-29
·
تاريخ التحديث
2025-08-26
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Navidrome من 0.55.0 إلى 0.55.2
الوصف
تنشأ المشكلة بسبب عدم كفاية التحقق من صحة المدخلات في المعلمة
role في نقطة نهاية واجهة برمجة التطبيقات (API) /api/artist. يمكن للمهاجمين استغلال هذه الثغرة لحقن استعلامات SQL تعسفية، مما قد يؤدي إلى الحصول على وصول غير مصرح به إلى قاعدة البيانات الخلفية وتعريض المعلومات الحساسة للمستخدمين للخطر. تؤثر هذه الثغرة الأمنية على قاعدة بيانات SQLite وتسمح لمهاجم غير معتمد بتنفيذ أوامر SQL تعسفية، واستخراج أو التلاعب بالبيانات الحساسة، وربما تصعيد الامتيازات أو تعطيل توفر الخدمة.التوصيات
بالنسبة لإصدارات Navidrome من 0.55.0 إلى 0.55.2، قم بالتحديث إلى الإصدار 0.56.0 لحل المشكلة.
كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API)
/api/artist لتقليل مخاطر الاستغلال.تجنب استخدام المعلمة
role في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾