CVE-2026-49128

Music Player Daemon (MPD)-in 0.24.11 versiyasından əvvəlki versiyaları lokal yaddaş plaginindəki LocalStorage::MapFSOrThrow və LocalStorage::MapUTF8 funksiyalarında yol keçidi (path traversal) zəifliyinə malikdir. Burada diskdəki yol, yaddaş kökü ilə istifadəçi tərəfindən təmin edilən URI-nin kanonikləşdirmə olmadan sadə sətirlər kimi birləşdirilməsi ilə qurulur ki, bu da '..' seqmentlərinin həll edilmiş yolda qalmasına və openat() zamanı nüvə tərəfindən düzləşdirilməsinə imkan verir. Autentifikasiya olunmamış hücumçu bu çatışmazlıqdan istifadə edərək, listfiles əmri vasitəsilə MPD prosesi tərəfindən oxuna bilən istənilən kataloqların adlarını, ölçülərini və dəyişdirilmə vaxtlarını müəyyən edə bilər, həmçinin albumart əmri ilə konfiqurasiya edilmiş music_directory-dən kənarda olan istənilən seçilmiş kataloqdakı şəkil fayllarını oxuya bilər.