CVE-2026-50552

Nome do Software Vulnerável e Versões Afetadas Koel versões anteriores a 9.7.1

Description Um usuário autenticado e sem privilégios de administrador pode forçar o servidor a realizar requisições HEAD ou GET para hosts internos arbitrários. Isso ocorre porque as regras de validação para o campo url no endpoint "POST /api/radio/stations" são declaradas sem a palavra-chave bail. Consequentemente, a regra HasAudioContentType, que realiza requisições HTTP para a URL fornecida, é executada mesmo que a regra SafeUrl já tenha rejeitado a URL por apontar para um endereço privado ou reservado. Isso resulta em Server-Side Request Forgery (SSRF), uma condição em que um servidor é enganado para fazer requisições a um local não pretendido.

Recommendations Atualizar para a versão 9.7.1.