CVE-2026-10108
Açıklama
xiaomusic v0.5.7, GET /music/{file_path:path} uç noktasında, kimliği doğrulanmamış saldırganların eksik bir yol ön eki kontrolünü istismar ederek belirlenen müzik dizini dışındaki rastgele dosyaları okumasına izin veren, kimlik doğrulaması gerektirmeyen bir path traversal zafiyeti içermektedir. Saldırganlar, karşılaştırma mantığındaki sondaki ayırıcının eksikliğinden kaynaklanan yol kısıtlamasını atlatmak için traversal dizileri oluşturarak, music_path ön ekini paylaşan kardeş dizinlerden dosya talep edebilir ve sunucudan rastgele dosyalar alabilirler.
Nasıl düzeltilir
- xiaomusic0.5.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xiaomusicPyPI | v < 0.5.8 | 0.5.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.