PT-2026-51012
CVE-2026-49338
·
تاريخ النشر
2026-06-19
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات gonic الأقدم من 0.21.0
الوصف
تفتقر نقاط نهاية واجهة برمجة تطبيقات Subsonic ’/rest/deletePlaylist.view‘ و ’/rest/getPlaylist.view‘ إلى آلية المصادقة لكل مورد على حدة. يمكن للمستخدم المصادق عليه، بغض النظر عن مستوى امتيازاته، حذف أي قائمة تشغيل أو قراءة المحتوى الكامل (الاسم والتعليق وقائمة الأغاني) لأي قائمة تشغيل خاصة تابعة لمستخدم آخر، بما في ذلك المسؤولون، من خلال تقديم معرّف (id) قائمة التشغيل. يتم إنشاء معرّف (id) قائمة التشغيل باستخدام
base64url(”<userID>/<filename>.m3u“). ونظرًا لأن userID هو عدد صحيح صغير وأسماء الملفات إما مقدمة من المستخدم أو مشتقة من الوقت، فإن هذه المعرفات يمكن تخمينها أو ربما تكون قد تم الكشف عنها مسبقًا، مما يسمح للمستخدمين ذوي الامتيازات المنخفضة بحذف قوائم التشغيل الخاصة بالمسؤولين أو استخراج البيانات الخاصة.التوصيات
التحديث إلى الإصدار 0.21.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾