CVE-2026-97061

Nome do Software Vulnerável e Versões Afetadas Black Candy versões anteriores a 3.2.2

Descrição Existe um problema onde as consultas de pesquisa de playlists não são limitadas ao usuário da sessão autenticada. Isso permite que qualquer usuário autenticado enumere todas as playlists na instância. Atacantes podem usar parâmetros de pesquisa em branco ou direcionados através dos endpoints 'SearchController' ou 'Search::PlaylistsController' para recuperar nomes de playlists pertencentes a outros usuários sem autorização.

Recomendações Atualize para uma versão posterior à 3.2.1. Restrinja o acesso aos endpoints 'SearchController' e 'Search::PlaylistsController' para minimizar o risco de recuperação não autorizada de dados.