CVE-2026-49338

gonic musiqi axın serveridir / pulsuz proqram təminatı olan subsonic server API tətbiqidir. Versiya 0.21.0-dan əvvəl, Subsonic API-nin `/rest/deletePlaylist.view` və `/rest/getPlaylist.view` son nöqtələri resurs üzrə avtorizasiya aparmır. Hər hansı bir istifadəçi (administrator olsun və ya olmasın) kimi autentifikasiyadan keçdikdən sonra hücumçu, pleylistlərin `id` parametrini ötürməklə digər hər hansı istifadəçiyə (o cümlədən administratora) məxsus istənilən pleylisti silə bilər və digər istifadəçilərin **özəl** (ictimai olmayan) pleylistlərinin tam məzmununu (ad, şərh, mahnı siyahısı) oxuya bilər. Subsonic pleylist `id`-si `base64url("<userID>/<filename>.m3u")` formatındadır. Fayl adları istifadəçi tərəfindən təyin edildiyi və ya zamana əsaslandığı, `userID` isə kiçik tam ədəd olduğu üçün ID-lər təxmin edilə bilir və tez-tez aşkar olur (məsələn, əvvəllər ictimai olan, lakin sonradan özəl edilmiş pleylist hələ də eyni ID-yə malikdir). Bu, gonic-in çoxistifadəçili etibar sərhədini pozur: aşağı imtiyazlı istifadəçi administratorun seçilmiş pleylistlərini silə bilər və istifadəçi ID-sini əldə etdiyi hər hansı özəl pleylisti sızdıra bilər. Problem versiya 0.21.0-ın tərkibində olan `6dd71e6a3c966867ef8c900d359a7df75789f410` commit-i ilə düzəldilmişdir.