CVE-2026-49129
Təsvir
Music Player Daemon (MPD)-in 0.24.11 versiyasından əvvəlki versiyalarında CurlInputPlugin komponentində, CURLOPT_FOLLOWLOCATION parametrinin CURLOPT_REDIR_PROTOCOLS_STR olmadan təyin edilməsi səbəbindən server tərəfli sorğu saxtakarlığı (SSRF) zəifliyi mövcuddur. Bu, autentifikasiya olunmamış hücumçulara bədniyyətli HTTP serverini gopher, ftp, sftp, ldap, dict, rtmp və ya rtsp kimi qeyri-HTTP protokollarına yönləndirməklə http/https sxem məhdudiyyətindən yan keçməyə imkan verir. Hücumçular libcurl-ün 7.85.0-dan əvvəlki versiyalarını işlədən sistemlərdə daxili və ya məhdudlaşdırılmış şəbəkə xidmətləri ilə qarşılıqlı əlaqə qurmaq üçün add, readcomments, albumart, readpicture və ya load kimi URL sorğularını başladan MPD əmrləri vasitəsilə bu zəifliyi aktivləşdirə bilərlər.
Necə düzəltmək olar
- MusicPlayerDaemon MPD0.24.11 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| MusicPlayerDaemon MPD | v < 0.24.11 | 0.24.11 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.