CVE-2026-54493

Nome do Software Vulnerável e Versões Afetadas Koel versões anteriores a 9.7.0

Descrição Um usuário autenticado pode realizar um Server-Side Request Forgery (SSRF) através de endpoints compatíveis com Subsonic. As rotas createInternetRadioStation.view e updateInternetRadioStation.view não implementam as verificações SafeUrl e HasAudioContentType utilizadas pela API de rádio padrão. Isso permite que um invasor forneça uma URL privada na variável streamUrl, que é então processada pela função openStream() em app/Services/Radio/RadioStreamProxy.php usando fopen(). Ao acessar o endpoint /radio/stream/{id}, o invasor pode recuperar o corpo completo da resposta de serviços HTTP internos, incluindo loopback, RFC1918, Docker bridge ou serviços de metadados acessíveis pelo servidor.

Recomendações Atualize para a versão 9.7.0. Como mitigação temporária, restrinja o acesso aos endpoints createInternetRadioStation.view e updateInternetRadioStation.view ou evite usar o parâmetro streamUrl com endereços de rede interna.