PT-2026-44496
CVE-2026-49129
·
تاريخ النشر
2026-05-28
·
تاريخ التحديث
2026-05-28
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Music Player Daemon (MPD) الأقدم من 0.24.11
الوصف
توجد مشكلة تزوير الطلبات من جانب الخادم (SSRF) في CurlInputPlugin. يتم تمكين الخيار
CURLOPT FOLLOWLOCATION دون تحديد CURLOPT REDIR PROTOCOLS STR، مما يسمح للمهاجمين غير المصادق عليهم بتجاوز قيود بروتوكولات http/https. من خلال استخدام خادم HTTP ضار لإعادة توجيه الطلبات إلى بروتوكولات غير HTTP — مثل gopher أو ftp أو sftp أو ldap أو dict أو rtmp أو rtsp — يمكن للمهاجمين التفاعل مع خدمات الشبكة الداخلية أو المقيدة. وهذا ممكن على الأنظمة التي تستخدم إصدارات libcurl الأقدم من 7.85.0. يمكن إثارة هذه المشكلة عبر أوامر MPD التي تبدأ عمليات استرداد عناوين URL، وتحديدًا add، أو readcomments، أو albumart، أو readpicture، أو load.التوصيات
قم بالتحديث إلى الإصدار 0.24.11 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾