CVE-2024-47062

Navidrome açıq mənbəli, veb əsaslı musiqi kolleksiyası serveri və strimeridir. Navidrome URL-dəki parametrləri avtomatik olaraq SQL sorğularına əlavə edir. Bu, URL-ə `password=...` kimi parametrlər əlavə etməklə məlumatlara çıxış əldə etmək üçün istifadə edilə bilər (ORM Leak). Bundan əlavə, parametrlərin adları düzgün escape edilmir və bu, SQL inyeksiyalarına gətirib çıxarır. Nəhayət, istifadəçi adı `LIKE` ifadəsində istifadə olunur ki, bu da istifadəçilərə öz istifadəçi adları əvəzinə `%` ilə daxil olmağa imkan verir. URL-ə parametrlər əlavə edildikdə, onlar (parametrin adından asılı olaraq) avtomatik olaraq SQL `LIKE` ifadəsinə daxil edilir. Bu, hücumçulara potensial olaraq ixtiyari məlumat əldə etməyə imkan verir. Məsələn, hücumçular bəzi şifrələnmiş parolların `AAA` ilə başlayıb-başlamadığını yoxlamaq üçün aşağıdakı sorğudan istifadə edə bilərlər. Bu, `password LIKE 'AAA%'` kimi SQL sorğusu ilə nəticələnir və hücumçulara parolları yavaş-yavaş brute-force etməyə imkan verir. URL-ə parametrlər əlavə edildikdə, onlar avtomatik olaraq SQL sorğusuna əlavə edilir. Parametrlərin adları düzgün escape edilmir. Bu davranış ixtiyari SQL kodunun inyeksiyası üçün istifadə edilə bilər (SQL inyeksiyası). Bu zəifliklər məlumatların sızması və verilənlər bazasının məzmununun dump edilməsi üçün istifadə edilə bilər və 0.53.0 buraxılış versiyasında aradan qaldırılmışdır. İstifadəçilərə yeniləmə tövsiyə olunur. Bu zəiflik üçün məlum iş ətrafı yolları yoxdur.